- Yama var
- Son 7 gün
- CWE-862
CVE-2026-122303
Kyverno'da NamespacedMutatingPolicy ile namespace'ler arası kaynak üzerine yazma açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sistemde yetkisi kısıtlı bir kullanıcının kendi alanının dışındaki kritik kaynakları değiştirebilmesine olanak tanır. Bu da parola ve yapılandırma gibi hassas bilgilerin ele geçirilmesi ya da uygulamaların bozulması riskini doğurur. Kyverno'yu kullanan kuruluşların bu güncellemeyi öncelikli olarak uygulaması önerilir.
ÖzetTürkçe
Kyverno 1.17.0 ile 1.19.2 öncesi sürümlerde, NamespacedMutatingPolicy içindeki mutate-existing hedef kısıtlama ifadesi bir yetkilendirme atlatmasına yol açar. Bu durum, bir namespace kiracısının diğer namespace'lerdeki kaynakların üzerine yazmasına olanak tanır. Etkilenen, Kyverno'nun bu sürümlerini kullanan kümelerdir.
Saldırgan ne yapabilir?
Saldırgan, ayrıcalıklı arka plan denetleyicisine kendi seçtiği bir namespace değeri ile sahte bir hedef döndürterek Secret, Deployment ve politikaların küme genelinde üzerine yazılmasını sağlayabilir.
Kaynaktaki açıklama (İngilizce)
Kyverno from 1.17.0 before 1.19.2 contains an authorization bypass vulnerability that allows namespace tenants to overwrite resources in other namespaces via NamespacedMutatingPolicy mutate-existing targetMatchConstraints.expression. Attackers can return a CEL map literal fabricating a target with an attacker-chosen metadata.namespace, causing the privileged background controller to overwrite Secrets, Deployments, or policies cluster-wide.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme tamamlanana kadar NamespacedMutatingPolicy kaynaklarının kullanımını gözden geçirin ve mutate-existing içeren politikaları geçici olarak devre dışı bırakmayı değerlendirin. Genel öneri
Ek önlemler
- Namespace'ler arası yetkileri ve rol bağlamalarını gözden geçirerek gereksiz erişimleri kaldırın. Genel öneri
- Secret ve Deployment kaynaklarındaki beklenmeyen değişiklikleri izlemek için denetim günlüklerini takip edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | ≥ 1.17.0, < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.