0Xvijay

**Nome do Software Vulnerável e Versões Afetadas** Kyverno versões 1.18.0 a 1.18.1 **Descrição** No compilador CEL do NamespacedMutatingPolicy, a biblioteca `generator` é exposta ao `matchConditions`, permitindo que uma política de escopo de namespace invoque a função `generator.apply(namespace, resources)` com um namespace de destino arbitrário. O processo de validação em `pkg/cel/policies/mpol/validate.go` apenas verifica se a política compila, sem impor o escopo do namespace, e a função `GenerateResources()` em `pkg/cel/libs/context.go` não rejeita alvos de namespaces diferentes. Um usuário com permissões para criar objetos `NamespacedMutatingPolicy` em um namespace específico pode explorar isso para forçar o controlador de admissão, que opera com privilégios de todo o cluster, a criar recursos como ConfigMaps, NetworkPolicies, Secrets e RoleBindings em qualquer outro namespace. Isso pode levar à modificação não autorizada de namespaces protegidos (ex: `kube-system`) e a uma potencial escalada de privilégios para níveis de administrador do cluster. **Recomendações** Atualize o Kyverno para a versão 1.18.2. Como medida de mitigação temporária, restrinja as permissões de usuário para evitar que usuários não administradores criem objetos `NamespacedMutatingPolicy`.

**Name of the Vulnerable Software and Affected Versions** Traefik versions prior to 2.11.42 Traefik versions prior to 3.6.12 Traefik versions prior to 3.7.0-ea.3 **Description** Traefik, an HTTP reverse proxy and load balancer, is susceptible to an identity impersonation issue. When the `headerField` configuration option is used with a non-canonical HTTP header name (for example, `x-auth-user` instead of `X-Auth-User`), an authenticated attacker can inject a canonical version of that header. This allows the attacker to impersonate any identity to the backend service. The backend receives two header entries, with the attacker-injected canonical version being read first, overriding Traefik's non-canonical write. This issue affects the Basic and Digest authentication middlewares. The vulnerability occurs because Traefik writes the authenticated username using a non-canonical map key, creating a separate header entry instead of overwriting the attacker's canonical one. **Recommendations** Traefik versions prior to 2.11.42 should be updated to version 2.11.42 or later. Traefik versions prior to 3.6.12 should be updated to version 3.6.12 or later. Traefik versions prior to 3.7.0-ea.3 should be updated to version 3.7.0-ea.3 or later.