- Yama var
- Son 7 gün
- CWE-367
CVE-2026-122321
Kyverno verifyImages önbelleğinde imza doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, Kyverno'nun konteyner imajlarını güvenilir kaynaklardan olup olmadığını denetleyen güvenlik katmanını atlatılabilir hale getirir. Saldırganın kümenize zararlı yazılım içeren uygulamalar yerleştirme riski yüksektir ve öncelikli olarak güncelleme gerektirir.
ÖzetTürkçe
Kyverno'nun 1.18.0 ile 1.19.2 öncesi sürümlerinde, verifyImages doğrulama sonuçları önbellekte doğrulanmış digest yerine imaj referansı dizgisine (örneğin etiket) göre tutulmaktadır. Bu nedenle önbellek isabetlerinde imza ve attestation kontrolleri atlanabilmektedir. Etkilenen Kyverno kurulumları, imaj doğrulama politikası kullanan kümelerdir.
Saldırgan ne yapabilir?
Saldırgan, imzalı bir imajla önbelleği ısıtıp kayıt defterindeki etiketi başka bir imaja yönlendirerek doğrulanmamış bir imajın kümeye alınmasını sağlayabilir. mutateDigest kullanılırsa doğrulanmamış digest sabitlenebilir.
Kaynaktaki açıklama (İngilizce)
Kyverno 1.18.0 before 1.19.2 contains a signature verification bypass in verifyImages because cached verification results are keyed by the image reference string (such as a tag) rather than bound to the verified digest, so cache hits skip signature and attestation checks. An attacker who can submit workloads and move a registry tag can warm the cache with a signed image, repoint the tag, and have Kyverno admit the workload and use mutateDigest to pin the unverified digest.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya üstü bir sürüme yükseltin. Üretici
- Yükseltmeden önce, verifyImages politikalarının kullandığı imajların digest ile sabitlenip sabitlenmediğini gözden geçirin ve güvenilmeyen kayıt defterlerinden gelen imajların kümeye alınmasını geçici olarak kısıtlayın. Genel öneri
Ek önlemler
- Kayıt defteri etiketlerinin değiştirilmesini (tag mutability) mümkün olduğunca kısıtlayın ve üretim iş yüklerinde imajları digest ile referans edin. Genel öneri
- Kyverno denetim kayıtlarını ve beklenmeyen imaj digest değişikliklerini izleyin. Genel öneri
- İş yükleri oluşturabilen kullanıcı ve servis hesaplarının yetkilerini en az ayrıcalık ilkesine göre sınırlayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | ≥ 1.18.0, < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.