CVE-2026-54247

Nome do Software Vulnerável e Versões Afetadas Skipper (versões afetadas não especificadas)

Description O manipulador do webhook de admissão do Kubernetes lê todo o corpo da requisição sem um limite de tamanho. Um invasor com acesso à rede do cluster e um certificado de cliente Kubernetes válido pode enviar um payload de vários GB para o endpoint /admission, fazendo com que o processo esgote a memória e seja encerrado por OOM (Out Of Memory). Isso resulta em uma negação de serviço que interrompe o controle de admissão para recursos de Ingress e RouteGroup até que o processo seja reiniciado automaticamente. O problema ocorre porque a função io.ReadAll(r.Body) é utilizada sem a implementação de um leitor de bytes máximos ou restrição de tamanho.

Recommendations Implementar um limite de tamanho de corpo usando http.MaxBytesReader ou um mecanismo similar antes de ler o corpo da requisição. Definir um tamanho máximo de corpo de requisição, como uma constante DefaultMaxRequestBodySize, e utilizar um leitor com buffer para impor esse limite. Introduzir uma flag configurável --admission-max-body-size para permitir que os administradores definam o limite de memória para requisições de admissão.