Kyverno 1.11.0以降の脆弱性、攻撃者の細工で管理コントローラーがメモリ枯渇
Summary
Kyvernoの1.11.0から1.19.1までに、Notary形式の証明データの展開処理に上限のない脆弱性があります。攻撃者が極端に圧縮したデータを送ると、メモリを使い果たしてサービス拒否の状態になるおそれがあります。修正版の1.19.2で対応できます。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Kyvernoの1.11.0から1.19.1までに、Notary形式の証明データの展開処理に上限のない脆弱性があります。攻撃者が極端に圧縮したデータを送ると、メモリを使い果たしてサービス拒否の状態になるおそれがあります。修正版の1.19.2で対応できます。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| kyverno | kyverno |
≥ 1.11.0, < 1.19.2 |
1.19.2 |
Original description The description as published by the source.
Kyverno from 1.11.0 before 1.19.2 contains an unbounded decompression vulnerability in extractStatement that allows remote attackers to exhaust memory by supplying highly compressed attestation layers. Attackers controlling registry referrer artifacts can push gzip predicate layers exceeding maxPayloadSize when decompressed, causing admission controller OOM kills and denial of service.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com