CVE-2026-84199
Təsvir
1.16.2 versiyasından əvvəlki Kyverno, APICall funksiyasında server tərəfli sorğu saxtakarlığı (SSRF) boşluğu ehtiva edir. Siyasətin (Policy) ServiceCall konfiqurasiyasındakı URL sahəsi yoxlanılmadığı üçün, namespace səviyyəsində Siyasət yaratma icazələri olan istifadəçi Kyverno-nu ixtiyari daxili resurslara (məsələn, 169.254.169.254 kimi bulud metadata son nöqtələrinə və ya digər tenantların resurslarına) HTTP sorğuları göndərməyə yönləndirə bilər. Kyverno bu sorğuları klaster miqyaslı yüksək imtiyazlı ServiceAccount vasitəsilə icra etdiyi üçün (Confused Deputy problemi), digər tenantların gizli məlumatlarını və bulud IAM etibarnamələrini potensial olaraq ehtiva edən cavablar PolicyReport-da qaytarılır və hücumçu tərəfindən oxuna bilir ki, bu da çoxtenantlı izolyasiyanı pozur.
Necə düzəltmək olar
- github.com/kyverno/kyverno1.16.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/kyverno/kyvernoGo | v < 1.16.2 | 1.16.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.