CVE-2026-100704 in Kyverno
Zusammenfassung
von VulDB • 26.09.2026
Kyverno ist eine Policy-Engine für Kubernetes. In den Versionen 1.14.0 bis 1.19.0 liest der ImageValidatingPolicy-Evaluator (policies.kyverno.io/v1beta1) die Felder spec.images und spec.allowedValues einer PolicyException niemals aus. Jede PolicyException, deren policyRefs und matchConditions mit einer Ressource übereinstimmen, führt dazu, dass die Überprüfung von Imagesignaturen für die gesamte Ressource übersprungen wird, anstatt nur für die aufgelisteten Images oder Werte. Somit wird eine Ausnahme, die ursprünglich dafür gedacht war, ein einzelnes vertrauenswürdiges Image zu exempten (auszunehmen), auf jedes Image der betroffenen Ressourcen ausgeweitet. Infolgedessen können nicht signierte oder nicht vertrauenswürdige Images ohne Signaturprüfung in den Cluster zugelassen werden. Dies unterscheidet sich von ValidatingPolicy, GeneratingPolicy und MutatingPolicy, die dasselbe Feld als teilweise Exemption behandeln. Das Problem wurde in Version 1.19.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.