george0papasotiriou/cve-2026-5556-kubernetes-admission-controller-bypass-via-case-sensitivityPoC di exploit e webhook di ammissione vulnerabile per CVE-2026-5556, che dimostra il bypass del controller di ammissione Kubernetes tramite un confronto case-sensitive dei nomi dei pod, consentendo la creazione non autorizzata di pod.
#!/usr/bin/env python3
# admission_webhook.py - Vulnerable webhook that rejects pods with specific name
from flask import Flask, request, jsonify
app = Flask(__name__)
DENIED_POD_NAMES = ["kube-system-svc", "admin-pod"]
@app.route('/validate', methods=['POST'])
def validate():
req = request.get_json()
pod_name = req["request"]["object"]["metadata"]["name"]
# Flaw: case‑sensitive comparison
if pod_name in DENIED_POD_NAMES:
return jsonify({"response": {"allowed": False, "status": {"message": "Name denied"}}})
return jsonify({"response": {"allowed": True}})
if __name__ == '__main__':
app.run(port=443, ssl_context='adhoc') # using self-signed cert for demo
Un webhook di ammissione che valida i nomi dei pod utilizza un confronto di stringhe sensibile alle maiuscole/minuscole contro una lista di nomi negati. Un attaccante può aggirare la restrizione modificando le maiuscole/minuscole del nome del pod, poiché Kubernetes preserva le maiuscole/minuscole nei nomi ma spesso esegue ricerche senza distinzione tra maiuscole e minuscole, portando alla creazione non autorizzata di pod.
python admission_webhook.py
python exploit_admission_bypass.py