- Yama var
- Son 7 gün
- CWE-409
CVE-2026-122322
Kyverno Notary attestation açmasında bellek tükenmesi (DoS)
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Kubernetes ortamlarında dağıtımları denetleyen Kyverno bileşeni, kötü niyetli bir girdi ile çökertilebilir; bu da yeni uygulamaların dağıtımını durdurabilir. Güvenlik açığı, yamalı sürüme geçilene kadar üretim ortamında kesinti riski taşır ve öncelikli olarak ele alınmalıdır.
ÖzetTürkçe
Kyverno'nun 1.11.0 ile 1.19.2 öncesi sürümlerinde, extractStatement fonksiyonunda sınırsız açma (decompression) işlemi bulunmaktadır. Saldırgan, kontrol ettiği kayıt defterindeki referrer yapıtlarına yüksek oranda sıkıştırılmış attestation katmanları yükleyebilir. Bu durum özellikle kayıt defteri üzerinde yazma yetkisi kontrol edilebilen ortamlarda sorun yaratır.
Saldırgan ne yapabilir?
Saldırgan, açıldığında izin verilen boyutu aşan katmanlar göndererek admission controller bileşeninin bellek tüketmesine ve OOM nedeniyle çökmesine yol açabilir; bu da hizmet reddi (DoS) ile sonuçlanır.
Kaynaktaki açıklama (İngilizce)
Kyverno from 1.11.0 before 1.19.2 contains an unbounded decompression vulnerability in extractStatement that allows remote attackers to exhaust memory by supplying highly compressed attestation layers. Attackers controlling registry referrer artifacts can push gzip predicate layers exceeding maxPayloadSize when decompressed, causing admission controller OOM kills and denial of service.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya üzeri bir sürüme yükseltin. Üretici
- Yükseltme yapılana kadar, kayıt defterindeki referrer yapıtlarına yazma erişimini yalnızca güvenilir kaynaklarla sınırlandırın. Genel öneri
- Admission controller bileşeninin bellek kullanımını ve yeniden başlatma sayısını izleyerek olağandışı artışları kontrol edin. Genel öneri
Ek önlemler
- Kayıt defteri erişim izinlerini en az ayrıcalık ilkesine göre düzenleyin ve imaj/yapıt yükleme yetkilerini sınırlayın. Genel öneri
- Kyverno için bellek limiti tanımlayarak tek bir bileşenin tüm kümeyi etkilemesini önleyin. Genel öneri
- Kyverno sürümlerinizi düzenli olarak envanterleyin ve güvenlik duyurularını takip edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | ≥ 1.11.0, < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.