CVE-2026-100704 in Kyverno
Riassunto
di VulDB • 26/09/2026
Kyverno è un motore di policy per Kubernetes. Nelle versioni dalla 1.14.0 alla 1.19.0, il valutatore ImageValidatingPolicy (policies.kyverno.io/v1beta1) non legge mai i campi spec.images e spec.allowedValues di una PolicyException. Qualsiasi PolicyException le cui policyRefs e matchConditions corrispondano a una risorsa fa sì che la verifica della firma dell'immagine venga saltata per l'intera risorsa anziché solo per le immagini o i valori elencati, quindi un'eccezione destinata ad esentare una singola immagine attendibile finisce per esentare ogni immagine sulle risorse corrispondenti. Di conseguenza, immagini non firmate o non attendibili possono essere ammesse nel cluster senza verifica della firma. Questo comportamento differisce da ValidatingPolicy, GeneratingPolicy e MutatingPolicy, che trattano lo stesso campo come un'esenzione parziale. Il problema è risolto nella versione 1.19.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.