R0Binak

Um problema de divulgação de informações não autenticadas existe onde o operador expõe todos os relatórios de varredura de vulnerabilidades. O endpoint HTTP '/report/' utiliza um http.FileServer bruto sobre o diretório de relatórios (padrão `/reports`) sem autenticação, autorização ou middleware. Isso permite que qualquer cliente com acesso à porta HTTP do operador (padrão 8080) liste e baixe relatórios de vulnerabilidades em JSON, revelando nomes de pacotes afetados, versões e identificadores de imagem de contêiner para todas as cargas de trabalho varridas no cluster.

Uma asserção de tipo não verificada no mecanismo de substituição de variáveis permite que usuários capazes de enviar recursos causem a falha do mecanismo de políticas. Ao enviar recursos contendo campos que não sejam strings referenciados por substituição rasa `{{- variable }}` em políticas, um invasor pode desencadear um pânico. Isso resulta em uma negação de serviço de webhook e pode levar a uma violação de política quando a `failurePolicy` está configurada como Ignore.

Uma asserção de tipo não verificada na função `buildStatementMap()` permite que atacantes não autenticados travem o mecanismo de políticas por meio de declarações de atestação manipuladas. Ao enviar um manifesto de referência OCI com um campo de tipo que não seja uma string, um atacante pode fazer com que o reports-controller entre em um ciclo de falhas (crash-loop) ou ignore a verificação de imagem quando a `failurePolicy` estiver configurada como Ignore.

O componente PropertyCard.vue utiliza a diretiva `v-html` do Vue 3, que injeta HTML bruto e desativa a auto-escapagem. A função `isURL()` filtra apenas valores que são interpretados como URLs http: ou https:, permitindo que qualquer carga útil HTML que não comece com esses esquemas ignore a proteção e flua diretamente para o DOM. Os dados afetados originam-se dos campos `.results[].properties` do PolicyReport do Kubernetes, que são mapas de strings arbitrários que podem ser preenchidos por mecanismos de política ou qualquer principal com acesso de escrita a objetos PolicyReport no cluster.

Existe uma falha no tratamento de exceções de política quando uma política está em modo de imposição (enforce mode) e combinada com duas PolicyExceptions. O sistema permite incorretamente que uma exceção menos restritiva tenha precedência sobre uma mais rigorosa. Um invasor pode ignorar a aplicação da política, como restrições a volumes hostPath, criando um nome de recurso que corresponda ao padrão de exceção mais amplo (ex: `*ingress*`).

Ocorre server-side request forgery (SSRF) na funcionalidade de Service Call. Um invasor com permissões para criar Kyverno (Cluster)Policies pode especificar uma URL externa na configuração `apiCall/service`. Embora o Service Call seja documentado para serviços internos do cluster, ele também resolve endereços externos, permitindo requisições a um servidor controlado pelo invasor. Isso possibilita a exfiltração de dados sensíveis do cluster, incluindo o conteúdo de recursos do Kubernetes, como secrets, que são enviados nos dados de contexto da política durante essas requisições.