CVE-2026-84199
Açıklama
1.16.2 öncesindeki Kyverno, APICall özelliğinde bir sunucu taraflı istek sahteciliği (SSRF) zafiyeti içermektedir. Bir Policy'nin ServiceCall yapılandırmasındaki URL alanı doğrulanmadığından, namespace düzeyinde Policy oluşturma izinlerine sahip bir kullanıcı, Kyverno'yu rastgele dahili kaynaklara (örneğin, 169.254.169.254 gibi bulut meta veri uç noktaları veya diğer kiracıların kaynakları) HTTP istekleri yapmaya yönlendirebilir. Kyverno bu istekleri küme genelinde yüksek yetkili ServiceAccount hesabını kullanarak gerçekleştirdiğinden (bir Confused Deputy problemi), potansiyel olarak diğer kiracıların gizli bilgilerini ve bulut IAM kimlik bilgilerini içeren yanıtlar PolicyReport içinde döndürülür ve saldırgan tarafından okunabilir; bu durum çoklu kiracı izolasyonunu bozmaktadır.
Nasıl düzeltilir
- github.com/kyverno/kyverno1.16.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/kyverno/kyvernoGo | v < 1.16.2 | 1.16.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.