CVE-2026-63121 Elusión de reglas de registro e imagen en trusted-repos-policy de Kubewarden con host en mayúsculas
En versiones anteriores a 2.1.2, trusted-repos-policy compara el hostname del registro de una imagen contra las listas de rechazo y permitidas de forma sensible a mayúsculas, aunque los nombres DNS no lo son. Una imagen con hostname en mayúsculas o mixto puede evadir una regla de rechazo del host equivalente en minúsculas y ser admitida. Solo las configuraciones con lista de rechazo tienen esta elusión; corregido en la versión 2.1.2.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 9
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
kubewarden policies
< 2.1.2
Qué hacer
- Verificá si usás policies y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadBaja
Descripción original
Kubewarden policies is a collection of WebAssembly policies for securing and governing Kubernetes clusters. For versions provisionally classified as affected before 2.1.2, `trusted-repos-policy` compares an image's `registry` hostname against `reject lists` and `allow lists` case-sensitively even though `registry` DNS names are case-insensitive. An image with an uppercase or mixed-case `registry` hostname can miss a rejection rule for the equivalent lowercase host, so the admission policy accepts a resource whose container runtime pulls the same prohibited image. Only reject-list configurations have this bypass: allow-list configurations fail closed by over-denying differently cased hostnames. The security consequences depend on the configured rejection policy and deployment environment. This issue is fixed in version 2.1.2.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.