CVE-2026-53999 Eliminación de recursos por anotación inyectada en el controlador de Radius

Qué es CVE-2026-53999

El controlador de Kubernetes de Radius deserializa la anotación radapp.io/status controlada por el usuario y usa el identificador de recurso de contenedor para eliminarlo sin verificar que pertenezca a ese Deployment. Un atacante con permiso para modificar anotaciones y conocimiento de un ID de recurso objetivo puede falsificar la anotación y provocar la eliminación de un recurso de contenedor de otro inquilino en instalaciones multiinquilino. Corregido en 0.58.0.

Productos y versiones afectadas

• radius-project radius

  • < 0.58.0

Qué hacer

1. Verificá si usás radius y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.7 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

Radius is a cloud-native, portable application platform that makes app development easier for teams building cloud-native apps. Prior to 0.58.0, the Kubernetes controller deserializes the user-controlled radapp.io/status annotation on a Deployment and uses its container resource identifier for deletion without confirming ownership by that Deployment. An attacker with permission to modify Deployment annotations and knowledge of a target Radius resource ID can forge radapp.io/status and set radapp.io/enabled to false, causing reconciliation to enter the privileged deletion path for another tenant's Radius-managed container resource. In a multi-tenant installation this confused-deputy condition can delete another team's recoverable container resource and disrupt service; in a single-tenant installation the impact is limited to self denial of service. The multi-tenant Radius controller reads the annotations in pkg/controller/reconciler/annotations.go and reaches the privileged delete in pkg/controller/reconciler/deployment_reconciler.go. The issue does not disclose data, grant privileges, or provide persistence. This issue is fixed in version 0.58.0.

Referencias

• github.com/radius-project/radius/security/advisories/GHSA-fp5j-4fj2-4jvqX_REFSOURCE_CONFIRM
• github.com/radius-project/radius/pull/11967X_REFSOURCE_MISC
• github.com/radius-project/radius/commit/c4174fc205b838d5eab4f64b4909001ab08c0587X_REFSOURCE_MISC
• github.com/radius-project/radius/releases/tag/v0.58.0X_REFSOURCE_MISC

Historial de la alerta

1. 14 OCT · 17:13VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.