CVE-2026-84199 in Kyverno
要約
〜によって VulDB • 2026年09月01日
Kyverno 1.16.2 より前のバージョンには、APICall機能におけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。ポリシーのServiceCall設定におけるURLフィールドが検証されないため、ネームスペースレベルでのポリシー作成権限を持つユーザーは、Kyvernoに対して任意の内部リソース（例：169.254.169.254などのクラウドメタデータエンドポイントや他のテナントのリソース）へのHTTP要求を実行させることができます。Kyvernoはこれらの要求をクラスター全体の高特権ServiceAccountを使用して実行するため、Confused Deputyの問題が生じます。その結果、レスポンス（他テナントのシークレットやクラウドIAM認証情報を含む可能性あり）がPolicyReportに返され、攻撃者がこれを読み取ることが可能となり、マルチテナント分離性が侵害されます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.