CVE-2026-84199 in Kyverno
Resumen
por VulDB • 2026-09-01
Kyverno anterior a la versión 1.16.2 contiene una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en la función APICall. El campo URL en la configuración ServiceCall de una Política no se valida, por lo que un usuario con permisos para crear Políticas a nivel de namespace puede dirigir a Kyverno para realizar solicitudes HTTP hacia recursos internos arbitrarios (por ejemplo, puntos finales de metadatos de nube como 169.254.169.254 o los recursos de otros inquilinos). Dado que Kyverno ejecuta estas solicitudes utilizando su ServiceAccount con altos privilegios a nivel del clúster (un problema de Confused Deputy), las respuestas, potencialmente incluyendo secretos de otros inquilinos y credenciales IAM de la nube, se devuelven en el PolicyReport y pueden ser leídas por el atacante, rompiendo el aislamiento multiinquilino.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.