Kyverno 1.11.0以降の脆弱性、攻撃者の細工で管理コントローラーがメモリ枯渇
概要
Kyvernoの1.11.0から1.19.1までに、Notary形式の証明データの展開処理に上限のない脆弱性があります。攻撃者が極端に圧縮したデータを送ると、メモリを使い果たしてサービス拒否の状態になるおそれがあります。修正版の1.19.2で対応できます。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Kyvernoの1.11.0から1.19.1までに、Notary形式の証明データの展開処理に上限のない脆弱性があります。攻撃者が極端に圧縮したデータを送ると、メモリを使い果たしてサービス拒否の状態になるおそれがあります。修正版の1.19.2で対応できます。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| kyverno | kyverno |
1.11.0 以上 1.19.2 未満 |
1.19.2 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Kyverno from 1.11.0 before 1.19.2 contains an unbounded decompression vulnerability in extractStatement that allows remote attackers to exhaust memory by supplying highly compressed attestation layers. Attackers controlling registry referrer artifacts can push gzip predicate layers exceeding maxPayloadSize when decompressed, causing admission controller OOM kills and denial of service.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com