- Yama var
- Son 7 gün
- CWE-639
CVE-2026-122308
Kyverno Generation Handler'da etiket sahteciliği ile yetki atlatma (1.19.2 öncesi)
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, Kubernetes kümelerinde güvenlik politikalarını yöneten Kyverno aracını etkilemektedir. Sınırlı yetkiye sahip bir kullanıcı, hassas kimlik bilgilerinin korunmasını aşarak bunları kendi alanına kopyalayabilir. Sistemlerin hızla güncellenmesi, veri sızıntısı ve uyum riskini azaltmak için önemlidir.
ÖzetTürkçe
Kyverno'nun 1.19.2 öncesi sürümlerinde, Generation Handler bileşeni dahili etiketlerini doğrulamadan kabul etmektedir. Oluşturma veya güncelleme yetkisine sahip kullanıcılar bu etiketleri taklit ederek senkronize generate politikalarını tetikleyebilir. Etkilenen ortamlar, Kyverno kullanan Kubernetes kümeleridir.
Saldırgan ne yapabilir?
Saldırgan, kısıtlı namespace'lerdeki hassas Secret kayıtlarını kendi namespace'ine kopyalayabilir ve bu gizli bilgilere erişebilir.
Kaynaktaki açıklama (İngilizce)
Kyverno before 1.19.2 contains an authorization bypass vulnerability in the Generation Handler that allows users with create/update permissions to trigger synchronized generate policies by spoofing internal generate.kyverno.io labels. Attackers can label a ConfigMap as managed-by kyverno with crafted policy, rule, and trigger labels to clone sensitive Secrets from restricted namespaces into their own namespace.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme sonrasında Kyverno kullanılarak oluşturulan generate politikalarının beklendiği gibi çalıştığını doğrulayın. Genel öneri
- Güncelleme yapılana kadar, oluşturma ve güncelleme yetkisini yalnızca güvenilir kullanıcı ve servis hesaplarıyla sınırlandırın. Genel öneri
Ek önlemler
- Hassas Secret kayıtlarının bulunduğu namespace'lere erişimi en az yetki ilkesine göre kısıtlayın. Genel öneri
- Kyverno tarafından yönetilen ConfigMap ve Secret nesnelerindeki beklenmedik etiket değişikliklerini ve kopyalama olaylarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.