CVE-2026-61682 in kcp
Tóm tắt
Bởi VulDB • 19/09/2026
kcp là một mặt phẳng điều khiển (control plane) giống Kubernetes dành cho các form-factors và trường hợp sử dụng vượt ra ngoài phạm vi của Kubernetes và các tác vụ container. Trước phiên bản 0.31.4 và 0.32.2, front-proxy của kcp không loại bỏ các header định danh X-Remote-User, X-Remote-Group hoặc X-Remote-Extra-* khi chuyển tiếp yêu cầu đến các shard (phân đoạn). Bất kỳ tenant nào đã xác thực đều có thể tiêm vào giá trị `X-Remote-Group: system:masters`, `authorization.kcp.io/warrant`, `authentication.kcp.io/scopes` hoặc một nhóm được sử dụng cho cơ chế gating required-group theo không gian làm việc, và shard sẽ tin tưởng các giá trị này như là các tuyên bố định danh đã xác thực. Điều này cho phép giả mạo liên không gian làm việc (cross-workspace impersonation), bỏ qua kiểm soát ủy quyền (authorization bypass) cũng như đọc, ghi hoặc xóa tùy ý các tài nguyên, bí mật (secrets), dữ liệu RBAC, APIExports, APIBindings và LogicalClusters. Vấn đề này đã được sửa chữa trong các phiên bản 0.31.4 và 0.32.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.