- Yama var
- Son 7 gün
- CWE-407
CVE-2026-122306
Kyverno'da joker karakter eşleştirmede üstel süreli hizmet reddi (DoS) açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kümenin kaynak oluşturma ve değiştirme işlemlerini durdurabilecek bir hizmet kesintisine yol açabilir. Özellikle politika yazma yetkisi olan kullanıcılar bu durumu bilerek tetikleyebilir. Yüksek öncelikli olarak Kyverno sürümünün güncellenmesi önerilir.
ÖzetTürkçe
Kyverno'nun 1.19.2 öncesi sürümlerinde, ad alanı (namespace) düzeyinde politika yazabilen kullanıcıların hazırladıkları özel joker karakter desenleriyle admission controller'ın işlemci kaynaklarını tüketebildiği bir hizmet reddi açığı bulunmaktadır. Açık, eşleştirme ve hariç tutma adlarının değerlendirildiği ValidateMatchExcludeConflict işlevinden kaynaklanmaktadır. Etkilenen kümelerdeki Kyverno kurulumları bu riskten sorumludur.
Saldırgan ne yapabilir?
Saldırgan, kötü hazırlanmış bir Policy kaynağı oluşturarak işlemci çekirdeklerini meşgul edebilir ve küme genelinde webhook zaman aşımlarına yol açarak kaynak işlemlerinin engellenmesini sağlayabilir.
Kaynaktaki açıklama (İngilizce)
Kyverno before 1.19.2 contains a denial of service vulnerability that allows namespaced policy authors to exhaust admission controller CPU by submitting pathological wildcard patterns. Attackers can create a Policy with crafted match and exclude names evaluated by ValidateMatchExcludeConflict, pinning cores and causing cluster-wide webhook timeouts that block resource operations.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme yapılana kadar, ad alanı düzeyinde politika oluşturma yetkisini yalnızca güvenilir yöneticilerle sınırlandırın. Genel öneri
- Yükseltme sonrasında Kyverno'nun çalışma durumunu ve webhook yanıt sürelerini kontrol edin. Genel öneri
Ek önlemler
- Politika kaynaklarında oluşturma, güncelleme ve silme yetkilerini en az ayrıcalık ilkesine göre düzenleyin. Genel öneri
- Admission controller'ın CPU kullanımını ve webhook zaman aşımı hatalarını izleyerek olağandışı artışları takip edin. Genel öneri
- Yeni politikaların eklenmesini, özellikle karmaşık joker karakter içeren eşleştirme kurallarını, değişiklik onayı süreciyle denetleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.