- Yama var
- Son 7 gün
- CWE-248
CVE-2026-122314
Kyverno'da değişken yerine koyma hatası nedeniyle hizmet reddi (DoS) açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, Kubernetes ortamlarında güvenlik politikalarını uygulayan bileşeni durdurarak kurumun kaynak denetimini devre dışı bırakabilir. Kötüye kullanım kolaydır ve yüksek öncelikli bir güncelleme gerektirir.
ÖzetTürkçe
Kyverno'nun 1.19.2 öncesi sürümlerinde, değişken yerine koyma motorunda kontrolsüz bir tür doğrulaması (type assertion) bulunmaktadır. Kaynak gönderebilen kullanıcılar, politikalarda sığ ({{- değişken }}) yerine koyma ile referans verilen string olmayan alanları içeren kaynaklar göndererek politika motorunu çökertebilir. Etkilenen kurulumlar, Kubernetes ortamında Kyverno kullanan yöneticiler ve hizmet sağlayıcılardır.
Saldırgan ne yapabilir?
Saldırgan, panic hatası yoluyla webhook hizmetini kullanılamaz hale getirebilir ve failurePolicy Ignore ayarı altında politika denetimini atlatabilir.
Kaynaktaki açıklama (İngilizce)
Kyverno before 1.19.2 contains an unchecked type assertion in its variable-substitution engine that allows users who can submit resources to crash the policy engine. Attackers can submit resources with non-string fields referenced by {{- variable }} shallow substitution in policies, causing a panic that yields webhook denial of service and policy bypass under failurePolicy Ignore.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya üzeri bir sürüme güncelleyin. Üretici
- Güncelleme yapılana kadar kaynak gönderme yetkisini yalnızca güvenilir kullanıcı ve sistemlerle sınırlandırın. Genel öneri
- Webhook'ların çökmesi durumunda politika atlatılmasını fark etmek için Kyverno pod'larının yeniden başlatma ve hata kayıtlarını izleyin. Genel öneri
Ek önlemler
- Kyverno webhook'larının kullanılabilirliğini izleyerek beklenmeyen kesintileri hızla tespit edin. Genel öneri
- Politikalarda failurePolicy Ignore ayarının kullanımını gözden geçirin; kritik politikalar için Fail seçeneğini değerlendirin. Genel öneri
- Kubernetes API'ye kaynak gönderen hesapların yetkilerini en az ayrıcalık ilkesine göre daraltın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.