Kyverno 署名者の確認を回避され悪意あるイメージが許可される脆弱性
Summary
Kyvernoの1.19.2より前のバージョンには、署名証明書にSANがない場合に署名者の確認を回避される脆弱性があります。プライベートな信頼ルートの証明書を持つ攻撃者は、悪意のあるイメージに署名してクラスターへの導入を通されるおそれがあります。修正版の1.19.2に更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Kyvernoの1.19.2より前のバージョンには、署名証明書にSANがない場合に署名者の確認を回避される脆弱性があります。プライベートな信頼ルートの証明書を持つ攻撃者は、悪意のあるイメージに署名してクラスターへの導入を通されるおそれがあります。修正版の1.19.2に更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| kyverno | kyverno |
< 1.19.2 |
1.19.2 |
Original description The description as published by the source.
Kyverno before 1.19.2 contains an authentication bypass in matchCertificateData that skips verifyImages subject and subjectRegExp checks when the signing certificate has no Subject Alternative Name. Attackers holding a leaf certificate from a configured private trust root can omit the SAN, set the expected Fulcio issuer OID, and sign malicious images that are admitted despite signer pinning.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com