kyverno
Kyverno: un namespace admin può creare risorse oltre i propri permessi RBAC
Il problema, secondo i dati ufficiali
- In Kyverno i controlli di ammissione sulle regole generate verificano i permessi del controller e non quelli di chi scrive la policy. Così si ottiene un'escalation di privilegi.
- Un amministratore di namespace può creare una Policy con regole generate che puntano ad altri namespace o a tipi di risorsa a livello di cluster. Il background controller crea o clona poi risorse in tutto il cluster, oltre i permessi RBAC dell'autore.
- La scheda raccoglie 7 vulnerabilità pubblicate lo stesso giorno sullo stesso prodotto: i dati sopra sono quelli della più grave.
Cosa fare
- Aggiorna kyverno alla versione 1.19.2 o successiva.
- Se il servizio è raggiungibile da internet e non puoi aggiornare subito, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- kyverno: prima della 1.19.2
Fonti ufficiali
- github.com — avviso del produttore
- www.vulncheck.com — riferimento
- github.com — avviso del produttore
- www.vulncheck.com — riferimento
- github.com — avviso del produttore
Descrizione ufficiale (in inglese)
Kyverno before 1.19.2 contains a privilege escalation vulnerability that allows namespace admins to create resources beyond their RBAC because generate-rule admission checks verify the controller's permissions, not the author's. Attackers can create a namespaced Policy with generate rules targeting other namespaces or cluster-scoped kinds, making the background controller create or clone resources cluster-wide.
Non sai se ti riguarda?
Se usi kyverno e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 5 novembre 2026. Prima di intervenire verifica l'avviso del produttore.