CVE-2026-42541

Kubewarden Kubernetes üçün siyasət mühərrikidir. Versiya [version] nədən əvvəl, imtiyazlı AdmissionPolicy və ya AdmissionPolicyGroup yaratma icazələri olan hücumçu (hansı ki, bu standart tənzimləmə deyil), can_i host geri çağırışından istifadə edən bir siyasət hazırlaya bilər. Geri çağırış, klaster üzrə hər hansı istifadəçinin və ya servis hesabının RBAC icazələrini sadalamaq üçün SubjectAccessReview (SAR) sorğuları göndərir. can_i kontekstə həssas icazəli siyahını (allow-list) tətbiq etmək üçün yoxlama aparmır və sorğunu birbaşa geri çağırış idarəedicisinə yönləndirir; həmin idarəedici isə policy-server imtiyazlarını istifadə edərək real SubjectAccessReview icra edir. Bu, siyasət səviyyəsində avtorizasiya boşluğu yaradır: can_i funksiyası, siyasətin heç bir kontekstə həssas resurs icazəsi olmadığı halda belə effektiv şəkildə istifadə edilə bilir. Bu, məlumat sızması / kəşfiyyat problemidir və iş yükü məlumatlarının birbaşa çıxarılmasına səbəb olmur. Hücumçu müəyyən servis hesablarının seçilmiş namespace-lərdə "get secrets", "create pods" və ya "bind clusterroles" kimi icazələrə malik olub-olmadığı barədə məlumat əldə edir. Bu zəiflik [version] versiyasında aradan qaldırılıb.