Vulnerabilidad en Capsule (CVE-2022-46167)

Capsule es un framework multiinquilino y basado en políticas para Kubernetes. Antes de la versión 0.1.3, una cuenta de servicio implementada en un espacio de nombres de inquilino, cuando se le concedían capacidades "PATCH" en su propio espacio de nombres, podía editarla y eliminar la referencia del propietario, rompiendo la conciliación del operador de cápsula y eliminando toda la aplicación. como anotaciones de seguridad de pod, políticas de red, rango de los límites y elementos de cuota de recursos. Un atacante podría separar el espacio de nombres de un inquilino que prohíbe iniciar pods privilegiados utilizando las etiquetas de seguridad del pod eliminando la referencia de propietario, eliminando las etiquetas de aplicación y pudiendo iniciar contenedores privilegiados que podrían iniciar una escalada de privilegios genérica de Kubernetes. Se han lanzado parches para la versión 0.1.3. No hay workarounds disponibles.