- Yama var
- Son 7 gün
- CWE-436
CVE-2026-122310
Kyverno Policy apiCall urlPath doğrulamasının atlanması nedeniyle yetki yükseltme
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sınırlı yetkili bir kullanıcının tüm Kubernetes kümesinin tam kontrolünü ele geçirmesine yol açabilir. Kritik seviyede bir risk taşıdığı için etkilenen sistemlerin hemen güncellenmesi gerekmektedir.
ÖzetTürkçe
Kyverno 1.19.1 sürümünden 1.19.2 öncesine kadar olan sürümlerde, bir Policy nesnesinin context.apiCall urlPath değeri temizlendikten sonra doğrulanmakta, ancak ham hâliyle çalıştırılmaktadır. Kubernetes istemcisi yolun # veya ? sonrasındaki kısmını yok saydığından, bu bölümlere gizlenen ../ dizileri küme düzeyindeki uç noktalara erişime izin verebilmektedir. Etkilenen, Kyverno'nun 1.19.1 ile 1.19.2 öncesi sürümlerini kullanan kurulumlardır.
Saldırgan ne yapabilir?
Ad alanı kapsamında Policy oluşturabilen bir kullanıcı, Kyverno'nun ServiceAccount yetkileriyle küme düzeyindeki kaynaklara erişebilir ve küme yöneticisi (cluster admin) yetkisi elde edebilir.
Kaynaktaki açıklama (İngilizce)
Kyverno from 1.19.1 before 1.19.2 validates a Policy's context.apiCall urlPath after cleaning it but executes the raw path, whose fragment or query the Kubernetes client discards. A namespace-scoped user who can create a Policy can hide ../ segments behind # or ? to reach cluster-scoped endpoints with Kyverno's ServiceAccount, gaining cluster admin.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme tamamlanana kadar, ad alanı kullanıcılarının Policy oluşturma ve düzenleme yetkilerini kısıtlayın. Genel öneri
- Mevcut Policy nesnelerinde context.apiCall urlPath değerlerini inceleyerek # veya ? karakterleri içeren ya da ../ dizisi barındıran tanımları gözden geçirin. Genel öneri
Ek önlemler
- Kyverno ServiceAccount'una tanınan RBAC yetkilerini en az ayrıcalık ilkesine göre daraltın. Genel öneri
- Kubernetes API sunucusu denetim (audit) kayıtlarında Policy oluşturma ve düzenleme işlemlerini izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | ≥ 1.19.1, < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.