- Yama var
- Son 7 gün
- CWE-269
CVE-2026-122302
Kyverno'da üretme kuralı izin kontrolü nedeniyle ayrıcalık yükseltme açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sınırlı yetkili bir kullanıcının kendi yetkisini aşarak tüm kümede işlem yapabilmesine olanak tanır ve kritik bir güvenlik riskidir. Kümenizde Kyverno kullanıyorsanız güncellemeyi öncelikli olarak ele almanız önerilir.
ÖzetTürkçe
Kyverno'nun 1.19.2 öncesi sürümlerinde, ad alanı yöneticilerinin RBAC yetkilerinin ötesinde kaynak oluşturmasına izin veren bir ayrıcalık yükseltme açığı bulunmaktadır. Üretme (generate) kurallarındaki kabul kontrolleri, yazarın değil denetleyicinin izinlerini doğrulamaktadır. Bu nedenle kötü niyetli bir kullanıcı, başka ad alanlarını ya da küme genelindeki kaynak türlerini hedefleyen bir Policy tanımlayabilir.
Saldırgan ne yapabilir?
Saldırgan, arka plan denetleyicisini kullanarak küme genelinde kaynak oluşturabilir veya mevcut kaynakları kopyalayabilir; bu da kümenin tam kontrolünün ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Kyverno before 1.19.2 contains a privilege escalation vulnerability that allows namespace admins to create resources beyond their RBAC because generate-rule admission checks verify the controller's permissions, not the author's. Attackers can create a namespaced Policy with generate rules targeting other namespaces or cluster-scoped kinds, making the background controller create or clone resources cluster-wide.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme tamamlanana kadar ad alanı yöneticilerinin Kyverno Policy kaynaklarını oluşturma ve düzenleme yetkilerini kısıtlayın. Genel öneri
- Üretme kurallarına sahip Policy kaynaklarını inceleyerek başka ad alanlarını veya küme kapsamlı kaynak türlerini hedefleyenleri belirleyin. Genel öneri
Ek önlemler
- Küme kapsamlı ve ad alanlar arası kaynak oluşturma işlemlerini izleyin ve olağan dışı etkinlikleri inceleyin. Genel öneri
- Denetleyicinin ihtiyaç duyduğu en az yetkiyi tanımlamak için RBAC politikalarınızı gözden geçirin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.