- Yama var
- Son 7 gün
- CWE-22
CVE-2026-122311
Kyverno'da namespace kapsamlı CEL politikalarında yol geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, Kubernetes kümelerindeki politika yönetim aracında kritik bir güvenlik zafiyetidir ve kümenin tamamının ele geçirilmesine izin verebilir. Kiracıların birbirinden izole olması gereken ortamlarda risk çok yüksektir, bu nedenle acil güncelleme önerilir.
ÖzetTürkçe
Kyverno'nun 1.16.0 ile 1.19.2 öncesi sürümlerinde, resource.get ve resource.post fonksiyonlarının resource argümanındaki yol bileşenleri doğrulanmıyor. Bu nedenle namespace kapsamlı CEL politikaları kendi namespace sınırlarından çıkabiliyor. Açık, sürüm aralığındaki tüm Kyverno kurulumlarını etkiliyor.
Saldırgan ne yapabilir?
NamespacedValidatingPolicy oluşturabilen bir kiracı, '..' bileşenleri ekleyerek admission controller'ın servis hesabı yetkileriyle kümedeki rastgele nesneleri okuyup yazabilir. Bu da kümenin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Kyverno from 1.16.0 before 1.19.2 fails to validate path segments in the resource argument of resource.get() and resource.post(), allowing namespaced CEL policies to escape their namespace. Tenants who can create a NamespacedValidatingPolicy can insert .. segments to read and write arbitrary cluster objects using the admission controller's ServiceAccount, leading to cluster takeover.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya üzeri bir sürüme yükseltin. Üretici
- Yükseltmeden önce, NamespacedValidatingPolicy oluşturma yetkisinin yalnızca güvenilir kullanıcılara verildiğinden emin olun. Genel öneri
- Mevcut namespace kapsamlı CEL politikalarını gözden geçirin ve resource.get ile resource.post çağrılarında şüpheli yol değerleri içerip içermediğini kontrol edin. Genel öneri
Ek önlemler
- Kiracıların politika kaynakları oluşturma ve düzenleme yetkilerini en az ayrıcalık ilkesine göre sınırlandırın. Genel öneri
- Admission controller'ın servis hesabının yetkilerini gereğinden fazla geniş tutmayın. Genel öneri
- Kubernetes API denetim günlüklerinde admission controller servis hesabının beklenmedik nesne okuma ve yazma işlemlerini izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | ≥ 1.16.0, < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.