一、漏洞简介¶

1.1 漏洞背景¶

ImagePolicyWebhook 准入插件用于控制哪些镜像可以在集群中运行，是重要的安全控制机制。

1.2 漏洞概述（包含 CVE 编号、危害等级、漏洞类型、披露时间等）¶

项目	内容
漏洞编号	CVE-2023-2727
危害等级	MEDIUM / 6.5
漏洞类型	ImagePolicyWebhook绕过
披露时间	2023-07-03
影响组件	Kubernetes

CVE编号: CVE-2023-2727
危害等级: 中危 (Medium)
CVSS评分: 5.5
CWE: CWE-20 (Improper Input Validation)
漏洞类型: 安全策略绕过

补充核验信息：公开时间：2023-07-03；NVD 评分：6.5（MEDIUM）；CWE：CWE-20。

二、影响范围¶

2.1 受影响的版本¶

使用 ImagePolicyWebhook 准入插件和临时容器的 Kubernetes 集群。

2.2 触发条件¶

启用 ImagePolicyWebhook 准入插件
使用临时容器（Ephemeral Containers）

2.2 不受影响的版本¶

1.24.14 及其后续修复分支
1.25.10 及其后续修复分支
1.26.5 及其后续修复分支
1.27.2 及其后续修复分支
若存在长期维护分支，请以官方安全公告或发布说明中的修复版本为准。

2.3 触发条件（如特定模块、特定配置、特定运行环境等）¶

需要存在可被远程或本地触达的相关接口、服务、插件或默认配置条件；原文与公开资料未给出更精确的统一触发条件。

三、漏洞详情与原理解析¶

3.1 漏洞触发机制¶

用户可能通过临时容器绕过 ImagePolicyWebhook 的镜像限制策略，运行受限的镜像。

3.2 源码层面的根因分析（结合源码与补丁对比）¶

ImagePolicyWebhook 未正确处理临时容器的镜像验证。

四、漏洞复现（可选）¶

4.1 环境搭建¶

暂无公开可验证复现信息。

4.2 PoC 演示与测试过程¶