- Yama var
- Son 7 gün
- CWE-295
CVE-2026-122318
Kyverno imza doğrulamasında sertifika SAN eksikliği nedeniyle kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kümelerinize yalnızca güvenilen imzalı imajların girmesi gereken koruma mekanizmasını devre dışı bırakabilir. Güvenlik kontrolü atlatıldığında kötü amaçlı yazılımın sisteminize girme riski artar. Yama mevcut olduğundan, güncellemenin öncelikli olarak planlanması önerilir.
ÖzetTürkçe
Kyverno'nun 1.19.2 öncesi sürümlerinde, verifyImages kurallarındaki matchCertificateData işlevi, imzalayan sertifikada Subject Alternative Name (SAN) alanı bulunmadığında subject ve subjectRegExp kontrollerini atlamaktadır. Yapılandırılmış özel bir güven kökünden leaf sertifika alabilen saldırganlar bu alanı çıkarıp beklenen Fulcio issuer OID değerini ayarlayarak kötü amaçlı imajları imzalayabilir.
Saldırgan ne yapabilir?
Saldırgan, imzalayıcı sabitlemesine (signer pinning) rağmen kötü amaçlı container imajlarının küme içine alınmasını sağlayabilir. Bu da kötü amaçlı kodun çalıştırılmasına ve kümede bütünlük kaybına yol açabilir.
Kaynaktaki açıklama (İngilizce)
Kyverno before 1.19.2 contains an authentication bypass in matchCertificateData that skips verifyImages subject and subjectRegExp checks when the signing certificate has no Subject Alternative Name. Attackers holding a leaf certificate from a configured private trust root can omit the SAN, set the expected Fulcio issuer OID, and sign malicious images that are admitted despite signer pinning.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme tamamlanana kadar verifyImages kurallarında kullanılan imzalayıcı sertifikalarını gözden geçirin ve yalnızca güvenilen özel güven köklerinden sertifika kullanıldığından emin olun. Genel öneri
- Güncelleme sonrasında Kyverno'nun çalıştığı sürümü doğrulayın. Genel öneri
Ek önlemler
- Doğrulama kurallarında yalnızca gerekli güven köklerini tanımlayın ve kullanılmayan sertifika yetkilerini kaldırın. Genel öneri
- Kümeye kabul edilen imajların imzalayıcı bilgilerini düzenli olarak denetleyin ve beklenmeyen imzalayıcılardan gelen imajları inceleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.