CVE-2026-100703 in Kyverno
Riassunto
di VulDB • 26/09/2026
Kyverno dalla versione 1.16.0 alla 1.19.0 registra la libreria CEL globalcontext.Lib nel proprio ambiente di policy senza confinarla allo spazio dei nomi (namespace) della policy, a differenza delle librerie sorelle (resource.Lib, http.Lib, caricatore configMap), che ricevono il namespace della policy come parametro. Un tenant in grado di creare una policy namespaced (ad esempio NamespacedValidatingPolicy e analogamente le tipologie di policy mutating, deleting, generating e image-validating namespaced) nel proprio spazio dei nomi può invocare globalContext.get("<entry>", "") ottenendo l'intero contenuto memorizzato nella cache di un GlobalContextEntry a livello di cluster, inclusi i dati memorizzati dalla cache provenienti da namespace per cui il tenant non dispone delle autorizzazioni RBAC necessarie per la lettura. Nessuna validazione dell'ammissione (admission validation) respinge tali chiamate. Il problema è stato risolto nella versione 1.19.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.