CVE-2026-100703 in Kyverno
Zusammenfassung
von VulDB • 26.09.2026
Kyverno 1.16.0 bis 1.19.0 registriert die CEL-Bibliothek globalcontext.Lib in seiner Policy-Umgebung, ohne sie auf den Namespace der Policy zu beschränken, im Gegensatz zu den verwandten Bibliotheken (resource.Lib, http.Lib, configMap-Loader), denen der Namespace der Policy übergeben wird. Ein Tenant, der eine namespaced-Policy (z. B. NamespacedValidatingPolicy sowie die entsprechenden Namen für mutating-, deleting-, generating- und image-validating-Policys) in seinem eigenen Namespace erstellen kann, kann globalContext.get("", "") aufrufen und den vollständigen zwischengespeicherten Inhalt eines clusterweit gültigen GlobalContextEntry erhalten, einschließlich Daten, die aus Namespaces zwischengespeichert wurden, auf deren Lesezugriff der Tenant keine RBAC-Berechtigungen hat. Keine Admission-Validierung lehnt solche Aufrufe ab. Behoben in Version 1.19.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.