Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-269

CVE-2026-122313

Kyverno'da NamespacedMutatingPolicy üzerinden namespace'ler arası yetki yükseltme açığı

kyverno

Kritik 9,9 CVSS 3.1
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, çok kiracılı Kubernetes ortamlarında bir müşterinin diğerinin yetkilerini ele geçirmesine imkân verebilir ve veri güvenliğini ciddi biçimde tehdit eder. Sistemin kritik seviyede olduğu değerlendirilmektedir. Bu nedenle Kyverno'nun güncellenmesi acil bir öncelik olmalıdır.

ÖzetTürkçe

Kyverno'nun 1.17.0 ile 1.19.2 öncesi sürümlerinde, NamespacedMutatingPolicy içindeki targetMatchConstraints.expression CEL çıktısında namespace kontrolü bulunmadığı için bir açık tespit edilmiştir. Bu durum, yalnızca tek bir namespace'e yetkili kiracıların başka namespace'lerdeki kaynakları değiştirmesine olanak tanır. Etkilenen kurulumlar, birden fazla kiracının aynı küme üzerinde Kyverno kullandığı ortamlardır.

Saldırgan ne yapabilir?

Saldırgan, başka bir kiracının RoleBinding kaynağına kendi hesaplarını ekleyerek yetki kazanabilir; ayrıca Role, NetworkPolicy ve ConfigMap kaynaklarını değiştirebilir. Küme genelinde çalışan arka plan denetleyicisi bu değişiklikleri uyguladığı için etki kümenin geneline yayılabilir.

Kaynaktaki açıklama (İngilizce)

Kyverno from 1.17.0 before 1.19.2 contains a privilege escalation vulnerability that allows namespace-scoped tenants to modify resources in other namespaces through NamespacedMutatingPolicy targetMatchConstraints.expression CEL output lacking namespace checks. Attackers can emit a literal target such as another tenant's RoleBinding, which the cluster-wide background controller then mutates to add attacker subjects or alter Roles, NetworkPolicies, and ConfigMaps.

Ne yapmalı?

  1. Kyverno'yu 1.19.2 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltmeden önce NamespacedMutatingPolicy kaynaklarını gözden geçirin ve güvenilmeyen ekiplerin bu politikaları oluşturmasını veya değiştirmesini geçici olarak kısıtlayın. Genel öneri
  3. Başka namespace'lerdeki RoleBinding, Role ve ConfigMap kaynaklarında beklenmeyen değişiklik olup olmadığını denetleyin. Genel öneri

Ek önlemler

  • Kiracılara yalnızca kendi namespace'lerinde kaynak oluşturma ve değiştirme yetkisi verin, küme geneli yetkilerden kaçının. Genel öneri
  • RoleBinding ve Role kaynaklarındaki değişiklikleri izleyip alarm üretecek denetim kayıtlarını etkinleştirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
kyverno ≥ 1.17.0, < 1.19.2 1.19.2
1.19.2 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.