CVE-2026-30963
NiskieCVSS 3.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W frameworku Capsule dla Kubernetes przed wersją 0.13.0 wykryto podatność umożliwiającą przejęcie przestrzeni nazw (namespace hijacking) poprzez operacje na subresources namespace/finalize i namespace/status. Webhook walidujący nie definiuje reguł przechwytywania dla tych subresources, co pozwala administratorowi dzierżawcy na modyfikację metadanych przestrzeni nazw.
Ocena ryzyka
Administrator dzierżawcy może przejąć kontrolę nad przestrzenią nazw, co może prowadzić do naruszenia izolacji między dzierżawcami i potencjalnego wycieku danych.
Rekomendacja
Należy zaktualizować Capsule do wersji 0.13.0 lub dodać subresources namespace/finalize i namespace/status do listy zasobów w regułach ValidatingWebhookConfiguration.
Oryginalny opis (angielski, źródło NVD)
Capsule is a multi-tenancy and policy-based framework for Kubernetes. To defend against namespace hijacking achieved through update/patch operations on namespaces, Capsule uses a webhook to validate update requests targeting namespaces. However, in Kubernetes, the namespace/finalize and namespace/status subresource APIs can also modify various fields of a namespace, including the metadata field. Prior to version 0.13.0, the webhook does not define interception rules for these subresources. As a result, if a tenant administrator has permission to modify namespace/status or namespace/finalize, they can successfully perform namespace hijacking. Version 0.13.0 fixes the issue. Another mitigation is to add two subresources (namespaces and snamespaces/status with namespace/finalize within it) to the resources list in the ValidatingWebhookConfiguration rules.