CVE-2025-24784

kubewarden-controller, Kubewarden admission siyasətlərini dinamik şəkildə qeydiyyata almağa imkan verən bir Kubernetes kontrolleridir. Siyasət qrupu funksiyası 1.17.0 versiyası ilə əlavə edilmişdir. Namespaced olduğu üçün AdmissionPolicyGroup-un klaster resurslarına təsiri məhdudlaşdırılmışdır. Buna görə də, admin olmayan istifadəçilərə öz namespace-lərində bu resursları yaratmağa və idarə etməyə icazə verilməsi təhlükəsiz hesab olunur. Kubewarden siyasətlərinə qiymətləndirmə zamanı Kubernetes API-na sorğu göndərməyə icazə verilə bilər; bu növ siyasətlər “kontekstdən xəbərdar” (context aware) adlanır. Kontekstdən xəbərdar siyasətlər Kubernetes klasteri üzərində list və get əməliyyatlarını yerinə yetirə bilər. Sorğular, siyasəti host edən Policy Server instansiyasının ServiceAccount-u vasitəsilə həyata keçirilir. Bu o deməkdir ki, klasterə giriş həmin ServiceAccount-a tətbiq olunan RBAC qaydaları ilə müəyyən edilir. AdmissionPolicyGroup CRD kontekstdən xəbərdar siyasətlərin yerləşdirilməsinə imkan verirdi. Bu, hücumçuya siyasəti işlətmək üçün istifadə edilən ServiceAccount tokeninə verilmiş daha yüksək klaster giriş imkanlarından istifadə edərək, çatışmayan resurslar haqqında məlumat əldə etməyə şərait yarada bilərdi. Bu zəifliyin təsiri Policy Server-i işlətmək üçün istifadə olunan ServiceAccount-a verilmiş imtiyazlardan asılıdır və istifadəçilərin Policy Server-in ServiceAccount-unu minimum imtiyazlı saxlamaqla bağlı tövsiyə olunan ən yaxşı təcrübələrdən istifadə etdiyi fərz edilir. Defolt olaraq, Kubewarden helm chart-ı yalnız aşağıdakı resurslara (klaster miqyasında) giriş imkanı verir: Namespace, Pod, Deployment və Ingress. Bu zəiflik 1.21.0 versiyasında aradan qaldırılmışdır.