CVE-2026-42541

Kubewarden, Kubernetes için bir politika motorudur. Belirtilen sürümden önce, ayrıcalıklı AdmissionPolicy veya AdmissionPolicyGroup oluşturma izinlerine sahip bir saldırgan (bu varsayılan değildir), can_i ana bilgisayar geri çağırmasını (host callback) kullanan bir politika hazırlayabilir. Geri çağırma işlemi, küme genelindeki herhangi bir kullanıcının veya servis hesabının RBAC izinlerini listelemek için SubjectAccessReview (SAR) istekleri gönderir. can_i, bağlam duyarlı izinli listeyi uygulamak için bu kontrolü gerçekleştirmez ve isteği doğrudan geri çağırma işleyicisine iletir; işleyici ise policy-server ayrıcalıklarını kullanarak gerçek bir SubjectAccessReview yürütür. Bu durum, politika düzeyinde bir yetkilendirme boşluğu oluşturur: can_i, politikanın hiçbir bağlam duyarlı kaynak izni olmasa bile etkili bir şekilde kullanılabilir. Bu bir bilgi ifşası / keşif sorunudur ve doğrudan iş yükü veri sızdırması değildir. Saldırgan, belirli servis hesaplarının seçilen ad alanlarında "secret'ları alma", "pod oluşturma" veya "clusterrole bağlama" gibi izinlere sahip olup olmadığına dair izin bilgilerini öğrenir. Bu güvenlik açığı belirtilen sürümde giderilmiştir.