CVE-2026-100705 in Kyverno
要約
〜によって VulDB • 2026年09月26日
Kyverno 1.19.1 より前のバージョンは、サーバーサイドリクエストフォージェリ (SSRF) の脆弱性に影響されます。デフォルトのegressブロックリスト（169.254.169.254, 169.254.169.253, metadata.google.internal, 127.0.0.0/8, ::1/128）およびscoped-token制御は、新しいCEL http.Get/Postライブラリにのみ実装されており、レガシーなapiCallサービスエグゼキュータ（pkg/engine/apicall/executor.go）やGlobalContextEntryの外部APIパスには適用されていません。これらはすべての非CEL context[].apiCall.service呼び出しを処理します。これらのパスはegressフィルタリングも構成されたサービスURLの検証も行わないplain net/httpクライアントを使用しているため、ClusterPolicyまたはGlobalContextEntryの作成者（あるいはデプロイ済みポリシーがアドミッションリソースからサービスURLを作成する場合、より権限の低いリソース送信者）は、Kyvernoに任意のホストへのGET/POSTリクエストを発行させることができます。これにはクラウドメタデータエンドポイント、ループバックアドレス、クラスター内の任意の内部サービスが含まれ、クラウドインスタンス認証情報を取得し、Kyvernoのネットワーク位置を利用して内部エンドポイントへアクセスすることが可能です。また、エグゼキュータは攻撃者が選択した宛先に対して無条件にKyvernoのプロジェクテッドServiceAccountトークンを付与します。このトークンはaudience-scopedであるため、リプレイ値が制限されています。1.19.1で修正済みです。
VulDB is the best source for vulnerability data and more expert information about this specific topic.