CVE-2026-22872: Capsule Kubernetes: escalonamento de privilégios via TenantResource RawItems
A CVE-2026-22872 afeta o framework de multi-tenancy Capsule para Kubernetes anteriores à versão 0.13.0. Um Tenant Owner poderia explorar os privilégios cluster-admin do controlador, por meio de RawItems do TenantResource, para criar recursos de escopo de cluster que não conseguiria criar diretamente. A correção está na versão 0.13.0, e as fontes consultadas não mostram exploração confirmada na natureza.
Visão geral
O Capsule é um framework de multi-tenancy e baseado em políticas para Kubernetes. Segundo o aviso de segurança do GitHub, a lógica de processamento de RawItems do TenantResource força o namespace, mas isso não funciona para recursos de escopo de cluster. A vulnerabilidade é identificada como CVE-2026-22872 e está classificada no CWE-20 (Validação Imprópria de Entrada).
Impacto
- O Capsule Controller executa, por padrão, com privilégios de cluster-admin.
- Um usuário com privilégios de Tenant Owner pode fazer com que recursos de escopo de cluster, como ClusterRole e ValidatingWebhookConfiguration, sejam criados mesmo que o tenant não consiga criá-los diretamente.
- O registro descreve escalonamento de privilégios entre tenants e impacto em nível de cluster.
- Alguns clusters podem ter controladores de admissão adicionais que bloqueiam recursos maliciosos, o que limita o risco prático nesses ambientes.
Produtos e versões afetadas
- Projectcapsule Capsule, anteriores à versão 0.13.0.
- Módulo Go github.com/projectcapsule/capsule, anteriores à versão 0.13.0.
- A versão corrigida indicada nas fontes é a 0.13.0.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro analisado, portanto não há exploração ativa confirmada documentada ali. As fontes consultadas não confirmam exploração na natureza. Os dados SSVC do registro indicam nível de exploração de prova de conceito e que o problema é automatizável, o que é um sinal de risco e não evidência de ataques ativos.
Correção e mitigação
- Atualize o Capsule para a versão 0.13.0 ou posterior, conforme o aviso oficial.
- Até concluir a atualização, revise quais usuários possuem o papel de Tenant Owner e restrinja esse papel a administradores confiáveis.
- Revise as políticas de controle de admissão para confirmar que a criação de recursos de escopo de cluster por tenants está restrita.
Orientações de detecção
- Analise os logs de auditoria do Kubernetes em busca de criação de recursos de escopo de cluster, como papéis RBAC e configurações de webhooks de admissão, originados por tenants gerenciados pelo Capsule.
- Revise os objetos TenantResource em busca de entradas inesperadas que referenciem tipos de escopo de cluster.
- Monitore alterações em configurações de webhooks de admissão e vínculos de cluster role que não façam parte de processos de mudança aprovados.
Limitações das informações disponíveis
O registro não fornece análise técnica detalhada da causa raiz, nem uma lista de condições de exploração além das descritas, nem qualquer cronologia de exploração confirmada. A pontuação CVSS base na NVD é 9.1, enquanto o GitHub indica 6.9 em um framework CVSS mais recente; o registro não explica a diferença. Detalhes de correção além da versão 0.13.0 não são fornecidos no registro.
Perguntas frequentes
Quais versões do Capsule são afetadas pela CVE-2026-22872?
Segundo o registro, versões do Capsule anteriores à 0.13.0 são afetadas, incluindo o módulo Go github.com/projectcapsule/capsule.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA no registro analisado, e as fontes consultadas não confirmam exploração na natureza.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.