CVE-2026-26055

Yoke الإصدارات 0.18.x والإصدارات الأقدم

لا يحتوي مكون Air Traffic Controller (ATC) في Yoke على آليات مصادقة مناسبة لنقاط نهاية webhook الخاصة به. وهذا يسمح لأي pod داخل شبكة الكلستر بإرسال طلبات AdmissionReview مباشرةً إلى webhook، متجاوزًا بذلك مصادقة خادم واجهة برمجة تطبيقات Kubernetes. يمكن للمهاجمين استغلال هذه الثغرة لتشغيل وحدات WASM في سياق وحدة التحكم ATC دون إذن. تشمل نقاط النهاية المعرضة للخطر ’/validations/{airway}‘ و'/validations/resources' و'/validations/flights.yoke.cd' و'/validations/airways.yoke.cd' و'/crdconvert/{airway}'. تنبع المشكلة من عدم وجود تحقق من شهادة عميل TLS، أو التحقق من مصدر الطلب، أو أي شكل من أشكال برامج الوساطة للمصادقة في تنفيذ معالج HTTP. يمكن للمهاجم إرسال طلبات AdmissionReview مصممة خصيصًا إلى نقاط النهاية هذه، مما قد يؤدي إلى التنفيذ غير المصرح به لـ WASM، وبالاقتران مع ثغرات أخرى، إلى إنشاء موارد Kubernetes عشوائية. تشمل الآثار مخاطر محتملة على السرية والسلامة والتوافر.

الإصدارات الأقدم من 0.19.0: قم بتنفيذ سياسة شبكة لتقييد الوصول إلى خدمة ATC، بحيث لا يُسمح إلا لـ kube-apiserver بالاتصال بها.

الإصدارات الأقدم من 0.19.0: استخدم شبكة خدمات (Istio، Linkerd) لتطبيق mTLS بين الخدمات.