- Yama var
- Son 7 gün
- CWE-269
CVE-2026-122312
Kyverno APICall URLPath sorgu dizgisi üzerinden ad alanı izolasyonu atlatma
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, Kyverno kullanan kuruluşlarda yetkili bir kullanıcının kendi alanının dışındaki verilere erişmesine olanak tanıyabilir. Kümenin ortak kaynakları ve bilgileri açığa çıkabileceğinden risk yüksektir. Güncellemenin mümkün olan en kısa sürede yapılması önerilir.
ÖzetTürkçe
Kyverno'nun 1.19.1 sürümünden 1.19.2 öncesine kadar olan sürümlerinde, APICall işlevindeki yol temizleme adımı '?' karakterini yol parçası olarak ele aldığı için ad alanı doğrulaması atlatılabilmektedir. Ad alanlı politika oluşturma yetkisine sahip kullanıcılar, doğrulamayı geçen ancak sorgu dizgisi içinde ad alanı benzeri bir yol barındıran bir URLPath tanımlayabilir. Bu durum, Kyverno'nun küme genelindeki uç noktalara istek göndermesine neden olur.
Saldırgan ne yapabilir?
Saldırgan, kendi ad alanının dışındaki kaynakları okuyabilir; bu da küme genelindeki bilgilere erişim anlamına gelir.
Kaynaktaki açıklama (İngilizce)
Kyverno from 1.19.1 before 1.19.2 contains a namespace isolation bypass in APICall Fetch() in pkg/engine/apicall/apiCall.go because path.Clean treats '?' as a path character, letting the namespace regex match segments inside the query string. Users who can create namespaced policies can supply a URLPath like /api/v1/nodes?x=/namespaces/default/ that passes validation while client-go requests the cluster-scoped endpoint, reading resources outside their namespace.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya üzeri bir sürüme yükseltin. Üretici
- Ad alanlı politika oluşturma yetkisini yalnızca güvenilir kullanıcılarla sınırlandırın ve gereksiz yetkileri kaldırın. Genel öneri
- Mevcut APICall tanımlarını gözden geçirin ve URLPath alanlarında sorgu dizgisi içeren şüpheli değerleri arayın. Genel öneri
Ek önlemler
- Kubernetes RBAC ile politika ve kaynak erişim izinlerini en az ayrıcalık ilkesine göre düzenleyin. Genel öneri
- Kyverno politika değişikliklerini ve dış API çağrılarını izleyen kayıtları düzenli olarak inceleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | ≥ 1.19.1, < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.