CVE-2026-100705 in Kyverno
Sumário
de VulDB • 26/09/2026
Kyverno antes da versão 1.19.1 é vulnerável a server-side request forgery (SSRF). A lista de bloqueio padrão para egresso (169.254.169.254, 169.254.169.253, metadata.google.internal, 127.0.0.0/8, ::1/128) e o controle scoped-token foram implementados apenas na nova biblioteca CEL http.Get/Post e nunca foram aplicados ao executor legado do serviço apiCall (pkg/engine/apicall/executor.go) nem ao caminho external-API do GlobalContextEntry, que processa todas as chamadas context[].apiCall.service não-CEL. Como esses caminhos utilizam um cliente net/http simples sem filtragem de egresso e sem validação da URL do serviço configurado, um autor de ClusterPolicy ou GlobalContextEntry — ou, onde os modelos de política implantados derivam a URL do serviço a partir dos recursos de admission, um submissor de recurso com privilégios mais baixos — pode fazer o Kyverno emitir requisições GET/POST para qualquer host arbitrário, incluindo o endpoint de metadados da nuvem, loopback e quaisquer serviços internos ao cluster, permitindo a leitura das credenciais da instância na nuvem e o acesso a endpoints internos com a posição de rede do Kyverno. O executor também anexa incondicionalmente o token ServiceAccount projetado do Kyverno ao destino escolhido pelo atacante; o token é scoped para audiência (audience-scoped), limitando seu valor de replay. Corrigido em 1.19.1.
Once again VulDB remains the best source for vulnerability data.