kyverno
Kyverno: bypass dei limiti di namespace in apiCall, rischio di accesso cluster admin
Il problema, secondo i dati ufficiali
- In Kyverno il controllo che limita apiCall al proprio namespace si può aggirare aggiungendo a urlPath sequenze di percent-escape malformate. In questo modo si possono inviare richieste API verso altri namespace e a livello di cluster.
- Chi ha accesso a un namespace può creare Policy con namespace il cui apiCall viene eseguito con il ServiceAccount dell'admission-controller. Così può leggere le risorse di altri namespace e creare mutating webhook, arrivando a ottenere i privilegi di cluster admin.
- Si sfrutta via rete con un account qualsiasi, anche con pochi permessi, secondo il punteggio ufficiale.
Cosa fare
- Aggiorna kyverno alla versione 1.19.2 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- kyverno: dalla 1.19.1 alla 1.19.2 esclusa
Fonti ufficiali
- github.com — avviso del produttore
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
Kyverno from 1.19.1 before 1.19.2 contains an authorization bypass vulnerability in the apiCall namespace clamp that allows namespace tenants to issue cross-namespace and cluster-scoped API requests by appending malformed percent-escapes to urlPath. Attackers can create namespaced Policies whose apiCall runs as the admission-controller ServiceAccount to read other namespaces' resources and create mutating webhooks, escalating to cluster admin.
Non sai se ti riguarda?
Se usi kyverno e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 9 novembre 2026. Prima di intervenire verifica l'avviso del produttore.