Kyverno before 1.19.2 Denial of Service via Unbounded CEL Policy Evaluation Cost

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Kyverno before 1.19.2 contains a denial of service vulnerability that allows namespace-scoped policy authors to exhaust CPU and memory by submitting CEL expressions evaluated without runtime cost limits. Attackers can create a NamespacedValidatingPolicy or NamespacedDeletingPolicy with nested map comprehensions over large ConfigMap fields to OOM-kill Kyverno pods and block cluster-wide admission.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…yverno/security/advisories/GHSA-m8p2-qqmx-j53x Üretici bülteni
• vulncheck.com/…rvice-via-unbounded-cel-policy-evaluation-cost Üçüncü taraf

Kayıt geçmişi

1. 5 Kas 2026 05:25Yayımlandı

İlgili açıklar

• 7,5 CVE-2026-122323Kyverno Notary imza açmasında sınırsız dekompresyon nedeniyle bellek tükenmesi
• 9,1 CVE-2026-122321Kyverno verifyImages önbelleğinde imza doğrulama atlatma açığı
• 7,5 CVE-2026-122322Kyverno Notary attestation açmasında bellek tükenmesi (DoS)
• 7,7 CVE-2026-122320Kyverno'da generate.clone üzerinden namespace'ler arası kaynak okuma açığı
• 7,5 CVE-2026-122319Kyverno'da In/NotIn operatörlerinde panik kaynaklı hizmet reddi (DoS) açığı
• 8,5 CVE-2026-122316Kyverno'da ad alanları arası yetkisiz yazma açığı (NamespacedMutatingPolicy mutateExisting)