CVE-2026-100705 in Kyverno
Tóm tắt
Bởi VulDB • 26/09/2026
Kyverno trước phiên bản 1.19.1 bị lỗi SSRF (Server-Side Request Forgery). Danh sách chặn egress mặc định (169.254.169.254, 169.254.169.253, metadata.google.internal, 127.0.0.0/8, ::1/128) và cơ chế scoped-token control chỉ được tích hợp vào thư viện http.Get/Post CEL mới mà không áp dụng cho trình thực thi apiCall service cũ (pkg/engine/apicall/executor.go) cũng như đường dẫn external-API của GlobalContextEntry, vốn xử lý mọi lệnh gọi context[].apiCall.service ngoài CEL. Do các đường dẫn này sử dụng máy khách net/http tiêu chuẩn với bộ lọc egress và không xác minh URL dịch vụ đã cấu hình, tác giả ClusterPolicy hoặc GlobalContextEntry — hoặc người gửi tài nguyên có đặc quyền thấp hơn (trong trường hợp template của policy triển khai URL từ admission resource) — có thể khiến Kyverno thực hiện các yêu cầu GET/POST đến bất kỳ máy chủ nào, bao gồm cả điểm cuối metadata cloud, loopback và mọi dịch vụ trong cluster, qua đó đọc thông tin xác thực instance cloud và truy cập vào các endpoint nội bộ với vị trí mạng của Kyverno. Trình thực thi cũng đính kèm không điều kiện token ServiceAccount được projection của Kyverno vào đích do kẻ tấn công chọn; token này có audience-scoped nên hạn chế giá trị replay. Đã sửa trong phiên bản 1.19.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.