- Yama var
- Son 7 gün
- CWE-248
CVE-2026-122315
Kyverno'da attestation tipi işlenirken çökme ve görüntü doğrulamasının atlanması
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kimlik doğrulaması gerektirmeden istismar edilebilen ve kümedeki güvenlik kontrollerini devre dışı bırakabilen yüksek riskli bir zafiyettir. Doğrulanmamış uygulamaların sisteme girmesine ve kritik hizmetlerin kesintiye uğramasına neden olabilir. Yazılımın güncellenmesi için kısa sürede plan yapılması önerilir.
ÖzetTürkçe
Kyverno'nun 1.19.2 öncesi sürümlerinde, attestation ifadelerini işleyen buildStatementMap fonksiyonu tip alanını kontrol etmeden tip dönüşümü yapmaktadır. Kimlik doğrulaması gerektirmeyen bir saldırgan, tip alanı metin olmayan şekilde hazırlanmış bir OCI referrer manifesti göndererek politika motorunu çökertebilir. Etkilenen sistemler, Kyverno'nun 1.19.2 öncesi sürümlerini kullanan Kubernetes kümeleridir.
Saldırgan ne yapabilir?
Saldırgan, politika motorunu çökerterek görüntü doğrulamasını atlatabilir; hata politikası Ignore olarak ayarlanmışsa doğrulanmamış imajların çalıştırılmasına izin verebilir. Ayrıca reports-controller bileşenini sürekli yeniden başlatma döngüsüne sokarak hizmet kesintisine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Kyverno before 1.19.2 contains an unchecked type assertion in buildStatementMap that allows unauthenticated attackers to crash the policy engine via crafted attestation statements. Attackers can push an OCI referrer manifest with a non-string type field to bypass image verification under failurePolicy Ignore or crash-loop the reports-controller.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya üzeri bir sürüme yükseltin. Üretici
- Güncelleme yapılana kadar Kyverno pod'larının çökme ve yeniden başlatma durumlarını yakından izleyin. Genel öneri
- Hata politikası (failurePolicy) Ignore olarak ayarlanmış görüntü doğrulama kurallarını gözden geçirin ve kritik olanların davranışını değerlendirin. Genel öneri
Ek önlemler
- Kayıt defterindeki OCI referrer kayıtlarına yazma erişimini yalnızca güvenilir hesap ve sistemlerle sınırlandırın. Genel öneri
- reports-controller bileşeninin yeniden başlatma sayısını izleyerek olağandışı artışlarda uyarı üretin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.