Vulnerabilidad en Kubernetes (CVE-2023-46254)

Capsule-proxy es un proxy inverso para el framework multi-tenancy de Capsule Kubernetes. Un bug en el reflector RoleBinding utilizado por `capsule-proxy` otorga a los propietarios de tenants de ServiceAccount el derecho de enumerar espacios de nombres de otros tenants respaldados por el mismo tipo y nombre de propietario. Por ejemplo, considere dos tenant """"solar"""" y """"wind"""". El tenant """"solar"""", propiedad de una cuenta de servicio denominada """"tenant-owner"""" en el espacio de nombres """"solar"""". El tenant """"wind"""", propiedad de una cuenta de servicio denominada """"tenant-owner"""" en el espacio de nombres """"wind"""". El propietario del inquilino """"solar"""" podría enumerar los espacios de nombres del inquilino """"wind"""" y viceversa, aunque esto no es correcto. El error introduce una vulnerabilidad de exfiltración ya que permite enumerar los recursos del espacio de nombres de otros tenant, aunque solo en algunas condiciones específicas:<br /> 1. `capsule-proxy` se ejecuta con `--disable-caching=false` (valor predeterminado: `false` ) y <br /> 2. Los propietarios de los tenant son ServiceAccount, con el mismo nombre de recurso, pero en diferentes espacios de nombres.<br /> Esta vulnerabilidad no permite ninguna escalada de privilegios en los recursos con ámbito de espacio de nombres del inquilino externo, ya que Kubernetes RBAC lo está aplicando. <br /> Este problema se solucionó en la versión 0.4.5. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.