Kyvernoで別のNamespaceのリソースを読み取られる脆弱性
概要
Kyvernoの1.19.2より前のバージョンには、Namespace間でリソースを読み取られる脆弱性があります。namespace付きのPolicyを書ける利用者が、generate.cloneの設定を悪用すると、別のNamespaceの機密性の高いConfigMapを自分のNamespaceへコピーさせられ、テナント間で情報が漏えいするおそれがあります。修正版は1.19.2です。CVSSv3.1は7.7、CVSSv4.0は8.3と高く、早めの更新をおすすめします。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Kyvernoの1.19.2より前のバージョンには、Namespace間でリソースを読み取られる脆弱性があります。namespace付きのPolicyを書ける利用者が、generate.cloneの設定を悪用すると、別のNamespaceの機密性の高いConfigMapを自分のNamespaceへコピーさせられ、テナント間で情報が漏えいするおそれがあります。修正版は1.19.2です。CVSSv3.1は7.7、CVSSv4.0は8.3と高く、早めの更新をおすすめします。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| kyverno | kyverno |
1.19.2 未満 |
1.19.2 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Kyverno before 1.19.2 contains a missing authorization vulnerability that allows namespaced Policy authors to read resources in other namespaces by templating generate.clone or cloneList namespace values. Attackers can annotate a triggering ConfigMap so the background-controller copies a victim namespace's sensitive ConfigMap into the attacker's namespace, enabling cross-tenant data disclosure.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com