Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-835

CVE-2026-122305

Kyverno'da iç içe değişken yerine koymada sonsuz döngü nedeniyle hizmet reddi (DoS)

kyverno

Yüksek 7,7 CVSS 3.1
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, Kyverno'nun kümedeki yeni kaynakların kabulünü denetleyen bileşenini durdurabilir ve kullanıcıların iş yükü dağıtmasını engelleyebilir. Saldırının görece düşük yetkili bir hesapla yapılabilmesi riski artırır. Etkilenen sürümler için güncelleme öncelikli olarak planlanmalıdır.

ÖzetTürkçe

Kyverno'nun 1.19.2 öncesi sürümlerindeki substituteVariablesIfAny işlevi, kendi kendine başvuran değişken şablonlarını yeterli sınırlama olmadan işlediği için hizmet reddi açığı içerir. Düşük yetkili kullanıcılar, politika değişkenini yeniden üreten annotation içeren kaynaklar oluşturabilir. Etkilenen ortamlar, Kyverno'nun Kubernetes admission webhook'unu kullanan kümelerdir.

Saldırgan ne yapabilir?

Saldırgan, admission webhook'unu kilitleyerek CPU ve bellek tüketimini sınırsız artırabilir ve küme genelinde yeni kaynak kabulünü engelleyebilir. Gizli veri okunması veya değiştirilmesi bildirilmemiştir.

Kaynaktaki açıklama (İngilizce)

Kyverno before 1.19.2 contains a denial of service vulnerability in substituteVariablesIfAny that allows low-privileged users to hang the admission webhook via self-referential variable templates. Attackers can create resources whose annotations re-introduce the embedded policy variable, causing unbounded substitution loops that exhaust CPU and memory and block cluster-wide admission.

Ne yapmalı?

  1. Kyverno'yu 1.19.2 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltme yapılana kadar kaynak oluşturma yetkilerini yalnızca güvenilir kullanıcılarla sınırlandırın ve gereksiz yetkileri kaldırın. Genel öneri
  3. Admission webhook'un yanıt süresini ve kaynak kullanımını izleyerek olağandışı yavaşlamaları kontrol edin. Genel öneri

Ek önlemler

  • Kyverno'nun kullandığı Kubernetes RBAC izinlerini en az ayrıcalık ilkesine göre gözden geçirin. Genel öneri
  • Kyverno kontrol düzlemi bileşenlerinin CPU ve bellek limitlerini tanımlayarak tüm kümenin etkilenmesini sınırlayın. Genel öneri
  • Kümede annotation içeren kaynak oluşturma aktivitelerini denetim günlükleriyle izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
kyverno < 1.19.2 1.19.2
1.19.2 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.