- Yama var
- Son 7 gün
- CWE-862
CVE-2026-122320
Kyverno'da generate.clone üzerinden namespace'ler arası kaynak okuma açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, Kubernetes kümesini birden fazla ekip veya müşteri arasında paylaşan kuruluşlar için veri sızıntısı riski oluşturur. Bir kullanıcının diğer birimlerin gizli yapılandırma verilerine erişebilmesi, güven ve uyumluluk açısından ciddi sonuçlar doğurabilir. Kyverno'yu güncellemek öncelikli bir iş olarak ele alınmalıdır.
ÖzetTürkçe
Kyverno'nun 1.19.2 öncesi sürümlerinde yetkilendirme eksikliği bulunmaktadır. Namespace kapsamlı Policy yazarları, generate.clone veya cloneList namespace değerlerini şablonlayarak diğer namespace'lerdeki kaynakları okuyabilmektedir. Etkilenen sürümler, çok kiracılı (multi-tenant) Kubernetes ortamlarında Kyverno kullanan kuruluşlardır.
Saldırgan ne yapabilir?
Saldırgan, kendi namespace'indeki bir ConfigMap'e açıklama ekleyerek background-controller'ın kurban namespace'indeki hassas bir ConfigMap'i kendi namespace'ine kopyalamasını sağlayabilir. Bu da kiracılar arası veri sızıntısına yol açar.
Kaynaktaki açıklama (İngilizce)
Kyverno before 1.19.2 contains a missing authorization vulnerability that allows namespaced Policy authors to read resources in other namespaces by templating generate.clone or cloneList namespace values. Attackers can annotate a triggering ConfigMap so the background-controller copies a victim namespace's sensitive ConfigMap into the attacker's namespace, enabling cross-tenant data disclosure.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme tamamlanana kadar, namespace'ler arası kopyalama yapan generate kurallarını gözden geçirin ve gereksiz olanları geçici olarak devre dışı bırakın. Genel öneri
- Namespace'ler arası ConfigMap ve diğer hassas kaynaklara erişimi olan Policy kaynaklarını yazma yetkisini yalnızca güvenilir yöneticilerle sınırlayın. Genel öneri
Ek önlemler
- Kyverno Policy kaynaklarında yapılan değişiklikleri ve yeni generate kurallarını izleyin. Genel öneri
- Beklenmeyen namespace'ler arası kopyalanmış ConfigMap nesnelerini denetim kayıtlarında arayın. Genel öneri
- Hassas verileri ConfigMap yerine uygun şekilde yönetilen gizli bilgi (Secret) yapılarında saklamayı ve erişimi en az yetki ilkesiyle sınırlamayı değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.