CVE-2026-5556 – Bypass del controlador de admisión de Kubernetes mediante sensibilidad a mayúsculas y minúsculas

Código del programa (webhook de admisión en Python + exploit)

#!/usr/bin/env python3
# admission_webhook.py - Vulnerable webhook that rejects pods with specific name
from flask import Flask, request, jsonify

app = Flask(__name__)

DENIED_POD_NAMES = ["kube-system-svc", "admin-pod"]

@app.route('/validate', methods=['POST'])
def validate():
    req = request.get_json()
    pod_name = req["request"]["object"]["metadata"]["name"]
    # Flaw: case‑sensitive comparison
    if pod_name in DENIED_POD_NAMES:
        return jsonify({"response": {"allowed": False, "status": {"message": "Name denied"}}})
    return jsonify({"response": {"allowed": True}})

if __name__ == '__main__':
    app.run(port=443, ssl_context='adhoc')  # using self-signed cert for demo

CVE-2026-5556 – Bypass del controlador de admisión de Kubernetes por sensibilidad a mayúsculas y minúsculas

Resumen

Un webhook de admisión que valida nombres de pods utiliza comparación de cadenas sensible a mayúsculas y minúsculas contra una lista de denegación. Un atacante puede evitar la restricción cambiando las mayúsculas del nombre del pod, porque Kubernetes preserva las mayúsculas en los nombres pero a menudo realiza búsquedas insensibles a ellas, lo que permite la creación no autorizada de pods.

Detalles de la vulnerabilidad

• Tipo: Bypass de control de acceso
• Impacto: Despliegue de pods privilegiados o restringidos, posible compromiso del clúster.
• Causa raíz: El webhook compara el nombre del pod exactamente, pero la API de Kubernetes puede aceptar el mismo nombre con distintas mayúsculas, y otros componentes lo tratan como equivalente.

Demostración del exploit

1. Inicia el webhook de admisión:
   root@kitploit:~

   python admission_webhook.py
   

2. Envía una solicitud de creación de pod con un nombre con mayúsculas cambiadas:
   root@kitploit:~

   python exploit_admission_bypass.py