CVE-2026-22039

إصدارات Kyverno الأقدم من 1.16.3 و1.15.3

يحتوي Kyverno، وهو آلية سياسات مخصصة لفرق هندسة المنصات السحابية الأصلية، على ثغرة خطيرة تتعلق بحدود التفويض في apiCall الخاص بسياسة Kyverno ذات نطاق الاسم. يتم تنفيذ urlPath الذي تم تحليله باستخدام ServiceAccount الخاص بوحدة التحكم في القبول في Kyverno دون فرض قيود على نطاق الاسم. وهذا يسمح لأي مستخدم تمت مصادقته ولديه إذن لإنشاء سياسة ذات نطاق اسم بإجراء طلبات إلى واجهة برمجة تطبيقات Kubernetes باستخدام هوية وحدة التحكم في القبول في Kyverno، مما قد يؤدي إلى استهداف أي مسار واجهة برمجة تطبيقات يسمح به نظام RBAC الخاص بـ ServiceAccount المذكور. وهذا يعرض عزل نطاق الأسماء للخطر، حيث يسمح بالقراءة عبر نطاقات الأسماء لموارد مثل ConfigMaps وSecrets، ويسمح بعمليات الكتابة على نطاق الكلستر أو عبر نطاقات الأسماء، مثل إنشاء سياسات الكلستر (ClusterPolicies)، من خلال التحكم في urlPath عن طريق استبدال متغيرات السياق. تكمن الثغرة الأمنية في الطريقة التي يعالج بها Kyverno مدخلات السياق apiCall، وتحديدًا استبدال المتغيرات في الحقل URLPath دون تطهير مناسب أو التحقق من صحة التفويض. يمكن للمهاجم إنشاء أي مسار API صالح للوصول إلى الموارد التي لا يُفترض أن يكون له حق الوصول إليها وتعديلها. وقد يؤدي ذلك إلى تسرب البيانات، أو تعطيل الكلستر بأكمله من خلال إنشاء موارد ClusterPolicy ضارة