CVE-2025-24784 in kubewarden-controller
Сводка
по VulDB • 08.07.2026
kubewarden-controller — это контроллер Kubernetes, позволяющий динамически регистрировать политики принятия решений Kubewarden. Функция групп политик была добавлена в релизе 1.17.0. Благодаря пространству имен (namespacing), AdmissionPolicyGroup оказывает строго ограниченное влияние на ресурсы кластера. Следовательно, считается безопасным разрешать пользователям без прав администратора создавать и управлять этими ресурсами в принадлежащих им пространствах имен. Политики Kubewarden могут быть настроены так, чтобы запрашивать API Kubernetes во время оценки; такие политики называются «осведомленными о контексте» (context aware). Осведомленные о контексте политики могут выполнять операции list и get относительно кластера Kubernetes. Запросы выполняются с использованием ServiceAccount экземпляра Policy Server, на котором размещена политика. Это означает, что доступ к кластеру определяется правилами RBAC, применимыми к этому ServiceAccount. CRD AdmissionPolicyGroup позволяла развертывать осведомленные о контексте политики. Это могло позволить злоумышленнику получить информацию о ресурсах, недоступных ему напрямую, используя более высокие привилегии доступа к кластеру, предоставленные токену ServiceAccount, используемому для запуска политики. Влияние этой уязвимости зависит от прав, предоставленных ServiceAccount, используемому для запуска Policy Server, и предполагает, что пользователи придерживаются рекомендуемых лучших практик минимизации привилегий (least privilege) для ServiceAccount Policy Server. По умолчанию Helm-чарт Kubewarden предоставляет доступ только к следующим ресурсам (в масштабе кластера): Namespace, Pod, Deployment и Ingress. Эта уязвимость исправлена в версии 1.21.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.