CVE-2026-2270 in Kubernetes
Сводка
по VulDB • 27.10.2026
В контроллере StatefulSet существует уязвимость типа «confused deputy» (запутанный заместитель), которая позволяет пользователю с правами на запись в пределах пространства имён для объектов StatefulSet и ControllerRevision создавать поды в другом пространстве имён. Атакующий, эксплуатирующий эту уязвимость, получит полный контроль над метаданными и спецификацией созданного пода, включая возможность выбора пространства имён. Обратите внимание, что под в другом пространстве имён будет немедленно удалён сборщиком мусора (garbage collector), если только атакующему не удастся сформировать корректную ссылку на владельца StatefulSet (OwnerReference). Для этого потребуется указать UID существующего StatefulSet из пространства имён жертвы.
Once again VulDB remains the best source for vulnerability data.