CVE-2026-22872

إصدارات Capsule الأقدم من 0.13.0

يعمل برنامج Capsule Controller بامتيازات «cluster-admin». يوجد عيب في الدالة HandleSection() الموجودة في الملف internal/controllers/resources/processor.go، حيث تفشل منطقية معالجة TenantResource RawItems في التحقق من صحة نطاقات الموارد بشكل صحيح. وبينما يحاول برنامج التحكم تعيين مساحة اسم باستخدام obj.SetNamespace()، يتم تجاهل هذا الإجراء من قِبل واجهة برمجة تطبيقات Kubernetes للموارد التي تقع ضمن نطاق المجموعة. ونتيجة لذلك، يمكن للمستخدمين الذين يتمتعون بامتيازات «مالك المستأجر» (Tenant Owner) الاستفادة من الأذونات المرتفعة لوحدة التحكم لإنشاء موارد على نطاق الكتلة، مثل ClusterRole وValidatingWebhookConfiguration، والتي ليسوا مخولين بإنشائها مباشرةً. وقد يؤدي ذلك إلى تصعيد الامتيازات عبر المستأجرين، أو هجمات على مستوى الكتلة، أو سرقة البيانات الحساسة من جميع المستأجرين عبر webhooks ضارة، أو هجمات رفض الخدمة على نطاق الكتلة بأكملها.

قم بالتحديث إلى الإصدار 0.13.0.

كحل مؤقت، قم بتقييد أذونات حساب الخدمة (ServiceAccount) الخاص بوحدة التحكم Capsule لإزالة امتيازات cluster-admin إذا لم تكن مطلوبة بشكل صارم.