- Yama var
- Son 7 gün
- CWE-409
CVE-2026-122323
Kyverno Notary imza açmasında sınırsız dekompresyon nedeniyle bellek tükenmesi
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, Kubernetes ortamlarında güvenlik politikalarını uygulayan Kyverno bileşenini çökertebilir ve kaynak denetimini durdurabilir. Saldırı için kolay erişim gerekir, bu nedenle etkilenen sistemlerin hızlıca güncellenmesi önerilir.
ÖzetTürkçe
Kyverno'nun 1.11.0 ile 1.19.2 öncesi sürümlerinde, FetchSignatureBlob fonksiyonu imza verilerini açarken boyut sınırı uygulamaz. Registry referrer'ları veya imzaları üzerinde kontrol sahibi olan bir saldırgan, küçük boyutlu ama yüksek oranda sıkıştırılmış gzip katmanları yayımlayabilir. Bu katmanlar açıldığında belirlenen maksimum yük boyutunu aşarak bellek tüketir.
Saldırgan ne yapabilir?
Saldırgan, admission controller bileşenini bellek yetersizliğinden (OOM) sonlandırarak hizmet reddi (DoS) oluşturabilir. Kyverno'nun kaynak doğrulama işlemleri durabilir.
Kaynaktaki açıklama (İngilizce)
Kyverno from 1.11.0 before 1.19.2 contains an unbounded decompression vulnerability in FetchSignatureBlob that allows attackers to exhaust memory by supplying highly compressed notary signature layers. Attackers who control registry referrers or signatures can publish small gzip layers that decompress beyond maxPayloadSize, causing admission controller OOM kills and denial of service.
Ne yapmalı?
- Kyverno'yu 1.19.2 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme tamamlanana kadar registry üzerindeki referrer ve imza yayımlama yetkilerini yalnızca güvenilir kaynaklarla sınırlandırın. Genel öneri
- Admission controller bellek kullanımını ve yeniden başlatma sayısını izleyerek olağandışı artışları kontrol edin. Genel öneri
Ek önlemler
- Kyverno admission controller için bellek limitleri tanımlayarak aşırı kaynak tüketiminin kümeyi etkilemesini sınırlayın. Genel öneri
- Registry'deki imza ve referrer içeriklerinin kimlerce yazılabildiğini düzenli olarak gözden geçirin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kyverno | ≥ 1.11.0, < 1.19.2 | 1.19.2 |
| 1.19.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.