CVE-2026-100705 in Kyverno
摘要
由 VulDB • 2026-09-26
Kyverno 在版本 1.19.1 之前存在服务器端请求伪造（SSRF）漏洞。默认的出口阻止列表（包括 169.254.169.254、169.254.169.253、metadata.google.internal、127.0.0.0/8、::1/128）以及 scoped-token 控制机制仅被集成到新的 CEL http.Get/Post 库中，而未应用于遗留的 apiCall 服务执行器（pkg/engine/apicall/executor.go），也未应用于 GlobalContextEntry 外部 API 路径，而这些组件负责处理所有非 CEL context[].apiCall.service 调用。由于这些路径使用普通的 net/http 客户端，缺乏出口过滤且未验证配置的服务 URL，ClusterPolicy 或 GlobalContextEntry 的创建者——或者在部署的策略模板中服务 URL 源自准入资源的场景中，权限较低的资源提交者——可以导致 Kyverno 向任意主机（包括云元数据端点、回环地址以及集群内的任何服务）发起 GET/POST 请求，从而读取云实例凭据并利用 Kyverno 的网络位置访问内部端点。此外，该执行器会无条件地将 Kyverno 的投影 ServiceAccount token 附加到攻击者选择的目的地；尽管该 token 具有受众范围限制（audience-scoped），但其重放价值仍受到一定程度的制约。此问题已在版本 1.19.1 中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.