CVE-2026-44543

إصدارات local-path-provisioner الأقدم من 0.0.36

يمكن لمستخدم ضار يتمتع بأذونات لتعديل ConfigMap local-path-config في مساحة الأسماء local-path-storage التلاعب بقالب helperPod.yaml. يُستخدم هذا القالب لإنشاء HelperPods أثناء عمليات توفير PVC وعمليات التنظيف، ولكنه لا يخضع للتحقق الكافي قبل الاستخدام. يمكن للمهاجم إدخال حقول حساسة من الناحية الأمنية مثل securityContext.privileged، ووحدات التخزين hostPath، وإمكانيات Linux في القالب. عندما تؤدي عملية PVC إلى إنشاء HelperPod، يستخدم أداة التوفير القالب الذي يتحكم فيه المهاجم، مما قد يؤدي إلى تشغيل pod ذي امتيازات على العقدة المستهدفة مع تثبيت نظام الملفات الجذري للمضيف. وهذا يسمح للمهاجم بالوصول إلى ملفات المضيف الحساسة، وقراءة رموز ServiceAccount من pods أخرى على نفس العقدة، والوصول إلى بيانات وحدات التخزين ذات المسار المحلي الخاصة بالمستأجرين الآخرين، أو تعديل الملفات على عقدة المضيف.

قم بالتحديث إلى الإصدار 0.0.36 أو أحدث.

قم بتقييد حق الوصول للكتابة إلى ConfigMap local-path-config في مساحة الاسم local-path-storage على المسؤولين الموثوق بهم فقط.

ضع علامة «غير قابل للتعديل» على خريطة التكوين local-path-config.

قم بتمكين «قبول أمان البودات» (Pod Security Admission) في Kubernetes لمساحة الاسم local-path-storage من خلال فرض سياسة baseline لمنع إنشاء بودات مساعدة (HelperPods) ذات امتيازات.