Kyvernoに脆弱性、細工されたリソースでサービスが停止するおそれ
Summary
Kyvernoの In および NotIn 演算子に脆弱性が見つかり、細工されたリソースを送られるとポリシーエンジンが異常終了し、サービス拒否の状態になるおそれがあります。影響を受けるのは1.19.2より前の版で、修正版は1.19.2です。アドミッション制御が止まる可能性があるため、早めに1.19.2へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Kyvernoの In および NotIn 演算子に脆弱性が見つかり、細工されたリソースを送られるとポリシーエンジンが異常終了し、サービス拒否の状態になるおそれがあります。影響を受けるのは1.19.2より前の版で、修正版は1.19.2です。アドミッション制御が止まる可能性があるため、早めに1.19.2へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| kyverno | kyverno |
< 1.19.2 |
1.19.2 |
Original description The description as published by the source.
Kyverno before 1.19.2 contains a denial-of-service vulnerability in the In and NotIn operators that allows attackers to crash the policy engine via an unchecked type assertion. Attackers can submit resources whose JMESPath-evaluated values yield arrays of integers, booleans, or mixed types, triggering a panic that disrupts admission control and policy enforcement.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- web github.com