- Yama var
- Son 7 gün
- CWE-862
CVE-2026-122316
Kyverno'da ad alanları arası yetkisiz yazma açığı (NamespacedMutatingPolicy mutateExisting)
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kiracıların kendi alanlarının dışındaki sistemleri değiştirmesine izin verebilir ve kümedeki güvenlik ayarlarını zayıflatabilir. Etkilenen kümelerin hızla güncellenmesi gerekir, çünkü bu tür bir değişiklik birden fazla uygulamanın güvenliğini aynı anda etkileyebilir.
ÖzetTürkçe
Kyverno'nun 1.17.0 ile 1.19.2 öncesi sürümlerinde, mevcut kaynakları değiştiren arka plan işlemcisinde yetki kontrolü eksik. Bu nedenle ad alanına bağlı kiracılar kendi ad alanları dışındaki kaynakları değiştirebiliyor. Etkilenen kurulumlar, Kyverno'nun kullandığı ad alanı kapsamlı politika kaynaklarını yönetebilen herkes için risk taşıyor.
Saldırgan ne yapabilir?
Saldırgan, CEL ifadeleri kullanarak Namespace nesnelerini ya da hedef ad alanındaki kaynakları hedefleyen bir politika oluşturabilir. Bu sayede arka plan denetleyicisinin hizmet hesabı küme genelinde Pod Güvenlik Standartları etiketlerini kaldırabilir ve güvenlik korumalarını zayıflatabilir.
Kaynaktaki açıklama (İngilizce)
Kyverno from 1.17.0 before 1.19.2 contains a missing authorization vulnerability in the mutate-existing background processor that allows namespaced tenants to modify resources outside their namespace. Attackers can create a NamespacedMutatingPolicy targeting Namespace objects or victim-namespace resources via CEL expressions, making the background-controller ServiceAccount strip Pod Security labels cluster-wide.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme tamamlanana kadar, ad alanına bağlı politika oluşturma yetkisini yalnızca güvenilir yöneticilerle sınırlandırın. Genel öneri
- Ad alanlarındaki Pod Güvenlik Standartları etiketlerinin beklenmedik şekilde kaldırılıp kaldırılmadığını kontrol edin. Genel öneri
Ek önlemler
- Kiracılara NamespacedMutatingPolicy oluşturma ve değiştirme yetkisi vermeden önce yetki ihtiyacını gözden geçirin. Genel öneri
- Ad alanı etiketlerindeki değişiklikleri izleyen denetim kayıtlarını etkinleştirin ve düzenli inceleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | ≥ 1.17.0, < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.