Kyverno 1.11.0〜1.19.1で圧縮データによりメモリ枯渇の脆弱性、サービス妨害のおそれ
Summary
Kyvernoの署名データの展開処理に上限がなく、高度に圧縮された署名レイヤーを送られるとメモリを使い果たし、アドミッションコントローラーがOOMで停止するおそれがあります。影響するのは1.11.0以上1.19.2未満で、修正版は1.19.2です。最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Kyvernoの署名データの展開処理に上限がなく、高度に圧縮された署名レイヤーを送られるとメモリを使い果たし、アドミッションコントローラーがOOMで停止するおそれがあります。影響するのは1.11.0以上1.19.2未満で、修正版は1.19.2です。最新の情報を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| kyverno | kyverno |
≥ 1.11.0, < 1.19.2 |
1.19.2 |
Original description The description as published by the source.
Kyverno from 1.11.0 before 1.19.2 contains an unbounded decompression vulnerability in FetchSignatureBlob that allows attackers to exhaust memory by supplying highly compressed notary signature layers. Attackers who control registry referrers or signatures can publish small gzip layers that decompress beyond maxPayloadSize, causing admission controller OOM kills and denial of service.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com