- Yama var
- Son 7 gün
- CWE-863
CVE-2026-122307
Kyverno politika atlatma açığı (PolicyException işleme hatası)
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, güvenlik politikalarının kurumsal sistemlerde uygulanmasını atlatılabilir hale getirmektedir. Yetkisiz veya düşük yetkili bir kullanıcı, kuralların dışına çıkan kaynakların sisteme alınmasına neden olabilir. Risk yüksek olduğundan Kyverno'nun güncellenmesi kısa sürede planlanmalıdır.
ÖzetTürkçe
Kyverno'nun 1.19.2 öncesi sürümlerinde, admissionpolicygenerator denetleyicisi PolicyException kaynaklarını üretilen ValidatingAdmissionPolicy politikalarına eklerken etkinleştirme ve ad alanı kontrollerini ve politika türü kısıtlamalarını atlamaktadır. Bu nedenle PolicyException üzerinde ad alanı bazında oluşturma yetkisi olan kullanıcılar, üretilen politikalara olumsuzlanmış matchConditions ifadeleri ekleyebilir. Etkilenen sistemler, Kyverno kullanarak küme genelinde politika uygulaması yapan tüm kurulumlardır.
Saldırgan ne yapabilir?
Saldırgan, ihlal eden kaynakların kabul edilmesini sağlayarak küme genelindeki politika zorlamasını atlatabilir ve yapılandırma kısıtlamalarını devre dışı bırakabilir.
Kaynaktaki açıklama (İngilizce)
Kyverno before 1.19.2 contains a policy bypass vulnerability in the admissionpolicygenerator controller, which folds PolicyExceptions into generated ValidatingAdmissionPolicies while ignoring the --enablePolicyException, --exceptionNamespace, and policy kind gates. Users with namespaced create rights on PolicyExceptions can inject negated matchConditions into the generated policies to admit violating resources, bypassing cluster-wide enforcement.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme tamamlanana kadar PolicyException kaynaklarını oluşturma yetkisini yalnızca güvenilir yöneticilerle sınırlandırın. Genel öneri
- Üretilen ValidatingAdmissionPolicy politikalarını ve bunlara bağlı matchConditions ifadelerini beklenmeyen değişiklikler açısından gözden geçirin. Genel öneri
Ek önlemler
- PolicyException kaynaklarındaki oluşturma, güncelleme ve silme işlemlerini denetim günlüklerinde izleyin. Genel öneri
- Ad alanı bazındaki RBAC yetkilerini en az ayrıcalık ilkesine göre düzenli olarak gözden geçirin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.