CVE-2026-5556 – تجاوز وحدة التحكم في القبول في Kubernetes عبر حساسية حالة الأحرف

كود البرنامج (webhook القبول بلغة Python + الاستغلال)

#!/usr/bin/env python3
# admission_webhook.py - Vulnerable webhook that rejects pods with specific name
from flask import Flask, request, jsonify

app = Flask(__name__)

DENIED_POD_NAMES = ["kube-system-svc", "admin-pod"]

@app.route('/validate', methods=['POST'])
def validate():
    req = request.get_json()
    pod_name = req["request"]["object"]["metadata"]["name"]
    # Flaw: case‑sensitive comparison
    if pod_name in DENIED_POD_NAMES:
        return jsonify({"response": {"allowed": False, "status": {"message": "Name denied"}}})
    return jsonify({"response": {"allowed": True}})

if __name__ == '__main__':
    app.run(port=443, ssl_context='adhoc')  # using self-signed cert for demo

CVE-2026-5556 – تجاوز حساسية حالة الأحرف في وحدة التحكم في القبول بـ Kubernetes

نظرة عامة

يستخدم webhook القبول الذي يتحقق من صحة أسماء pods مطابقة السلاسل الحساسة لحالة الأحرف ضد قائمة الحظر. يمكن للمهاجم تجاوز القيد عن طريق تغيير حالة الأحرف في اسم الـ pod، لأن Kubernetes تحافظ على حالة الأحرف في الأسماء لكنها غالبًا ما تجري عمليات بحث غير حساسة لحالة الأحرف، مما يؤدي إلى إنشاء pods غير مصرح بها.

تفاصيل الثغرة

• النوع: تجاوز التحكم في الوصول
• التأثير: نشر pods ذات صلاحيات مميزة أو مقيدة، واحتمال اختراق الكتلة.
• السبب الجذري: يقارن webhook اسم الـ pod بدقة، لكن واجهة برمجة تطبيقات Kubernetes قد تقبل الاسم نفسه بحالة أحرف مختلفة، وتتعامل المكونات الأخرى معه كقيمة مكافئة.

عرض الاستغلال

1. ابدأ تشغيل webhook القبول:
   root@kitploit:~

   python admission_webhook.py
   

2. أرسل طلب إنشاء pod باسم بحالة أحرف مختلفة:
   root@kitploit:~

   python exploit_admission_bypass.py