- Yama var
- Son 7 gün
- CWE-863
CVE-2026-122304
Kyverno CleanupPolicy bağlam yükleyicisinde yetki yükseltme açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sınırlı yetkilere sahip bir kullanıcının kendi alanının dışındaki hassas bilgilere erişmesine ve güvenlik kontrollerini değiştirmesine izin verebilir. Kritik seviyede bir risk taşıdığı için etkilenen sürümlerin hemen güncellenmesi gerekir.
ÖzetTürkçe
Kyverno'nun 1.17.0 ile 1.19.2 öncesi sürümlerinde, temizleme denetleyicisi bağlam yükleyicisini nil politika ile oluşturduğu için yetkilendirme atlatılabilmektedir. Bu durum, ad alanı yöneticilerinin kendi ad alanlarının sınırlarını aşmasına olanak tanımaktadır. Etkilenen sistemler, bu sürüm aralığındaki Kyverno kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, bir ad alanı içinde oluşturduğu CleanupPolicy ile diğer ad alanlarındaki gizli verileri (Secret) okuyabilir ve temizleme denetleyicisinin hizmet hesabını kullanarak validatingwebhookconfigurations kaynaklarını değiştirebilir.
Kaynaktaki açıklama (İngilizce)
Kyverno from 1.17.0 before 1.19.2 contains an authorization bypass vulnerability that allows namespace admins to escape namespace confinement because the cleanup controller builds its context loader with a nil policy. Attackers can create a namespaced CleanupPolicy with apiCall or globalReference context entries to read cross-namespace Secrets and modify validatingwebhookconfigurations using the cleanup controller's ServiceAccount.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya sonraki bir sürüme yükseltin. Üretici
- Yükseltmeden önce, kullanıcıların oluşturabildiği CleanupPolicy kaynaklarını inceleyin ve şüpheli apiCall veya globalReference bağlam girdilerini içerenleri kaldırın. Genel öneri
- Temizleme denetleyicisinin hizmet hesabının erişim yetkilerini gözden geçirin ve gereğinden fazla yetki varsa daraltın. Genel öneri
Ek önlemler
- Ad alanı yöneticilerine verilen yetkileri ve kaynak oluşturma haklarını düzenli olarak denetleyin. Genel öneri
- validatingwebhookconfigurations kaynaklarındaki beklenmedik değişiklikler için izleme ve uyarı kuralları tanımlayın. Genel öneri
- Ad alanları arası Secret erişim girdilerini ve denetim kayıtlarını periyodik olarak gözden geçirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | ≥ 1.17.0, < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.