CVE-2026-22039
Təsvir
Kyverno bulud yerli platforma mühəndisliyi komandaları üçün hazırlanmış siyasət mühərrikidir. 1.16.3 və 1.15.3 versiyalarından əvvəlki versiyalarda namespaced Kyverno Policy apiCall hissəsində kritik avtorizasiya sərhədindən yan keçmə zəifliyi mövcuddur. Təyin edilmiş `urlPath`, sorğunun siyasətin namespace-i ilə məhdudlaşdırıldığına dair heç bir məhdudiyyət olmadan Kyverno admission controller ServiceAccount vasitəsilə icra edilir. Nəticədə, namespaced Policy yaratmaq icazəsi olan hər hansı autentifikasiya olunmuş istifadəçi, həmin ServiceAccount-un RBAC tərəfindən icazə verilən istənilən API yolunu hədəf alaraq, Kyverno-nun Kubernetes API sorğularını Kyverno-nun admission controller kimliyini istifadə edərək yerinə yetirməsinə səbəb ola bilər. Bu, kontekst dəyişəninin əvəzlənməsi yolu ilə urlPath-ı idarə etməklə cross-namespace oxumaları (məsələn, ConfigMap-lər və icazə verildiyi təqdirdə Secret-lər) mümkün edərək namespace izolyasiyasını pozur və klaster miqyaslı və ya cross-namespace yazmalara (məsələn, ClusterPolicy-lərin yaradılmasına) şərait yaradır. 1.16.3 və 1.15.3 versiyaları bu zəiflik üçün yamanı ehtiva edir.
Necə düzəltmək olar
- kyverno kyverno1.15.3, 1.16.3 və ya daha yeni versiya
- github.com/kyverno/kyverno1.15.3, 1.16.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kyverno kyverno | v < 1.15.3, 1.16.0 ≤ v < 1.16.3 | 1.15.3, 1.16.3 |
| github.com/kyverno/kyvernoGo | v < 1.15.3, 1.16.0-rc.1 ≤ v < 1.16.3 | 1.15.3, 1.16.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.