| Title | Project CapsuleのCapsuleにおける入力確認に関する脆弱性 |
|---|---|
| Summary | CapsuleはKubernetes向けのマルチテナンシーおよびポリシーベースのフレームワークです。名前空間に対する更新やパッチ操作を通じて起こる名前空間のハイジャックから防御するために、Capsuleは名前空間を対象とした更新リクエストを検証するWebhookを使用しています。しかし、Kubernetesではnamespace/finalizeおよびnamespace/statusのサブリソースAPIも名前空間のメタデータフィールドを含む様々なフィールドを変更できます。バージョン0.13.0以前では、Webhookはこれらのサブリソースに対するインターセプトルールを定義していませんでした。その結果、テナント管理者がnamespace/statusまたはnamespace/finalizeの変更権限を持っている場合、名前空間のハイジャックを成功させる可能性がありました。バージョン0.13.0でこの問題は修正されました。別の緩和策として、ValidatingWebhookConfigurationルールのリソースリストに2つのサブリソース（namespacesおよびその中のnamespace/finalizeやnamespaces/status）を追加することがあります。 |
| Possible impacts | ・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | June 1, 2026, midnight |
| Registration Date | June 5, 2026, 10:47 a.m. |
| Last Update | June 5, 2026, 10:47 a.m. |
| CVSS3.0 : 低 | |
| Score | 2.7 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年06月05日] 掲載 |
June 5, 2026, 10:47 a.m. |
| Summary | Capsule is a multi-tenancy and policy-based framework for Kubernetes. To defend against namespace hijacking achieved through update/patch operations on namespaces, Capsule uses a webhook to validate update requests targeting namespaces. However, in Kubernetes, the namespace/finalize and namespace/status subresource APIs can also modify various fields of a namespace, including the metadata field. Prior to version 0.13.0, the webhook does not define interception rules for these subresources. As a result, if a tenant administrator has permission to modify namespace/status or namespace/finalize, they can successfully perform namespace hijacking. Version 0.13.0 fixes the issue. Another mitigation is to add two subresources (namespaces and snamespaces/status with namespace/finalize within it) to the resources list in the ValidatingWebhookConfiguration rules. |
|---|---|
| Publication Date | June 2, 2026, 4:16 a.m. |
| Registration Date | June 3, 2026, 4:14 a.m. |
| Last Update | June 4, 2026, 5:22 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:projectcapsule:capsule:*:*:*:*:*:*:*:* | 0.13.0 | ||||