Kyverno до версии 1.16.2 содержит уязвимость подделки запросов на стороне сервера (SSRF) в функции APICall. Поле URL-адреса в конфигурации ServiceCall политики не проверяется, поэтому пользователь с разрешениями на создание политики на уровне пространства имен может указать Kyverno выполнять HTTP-запросы к произвольным внутренним ресурсам (например, конечным точкам облачных метаданных, таким как 169.254.169.254, или ресурсам других арендаторов). Поскольку Kyverno выполняет эти запросы, используя свой ServiceAccount с высоким уровнем привилегий на уровне всего кластера (проблема Confused заместитель), ответы — потенциально включая секреты других арендаторов и учетные данные облачного IAM — возвращаются в PolicyReport и могут быть прочитаны злоумышленником, нарушая мультитенантную изоляцию.
Показать оригинальное описание (EN)
Kyverno before 1.16.2 contains a server-side request forgery (SSRF) vulnerability in the APICall feature. The URL field in a Policy's ServiceCall configuration is not validated, so a user with namespace-level Policy creation permissions can direct Kyverno to make HTTP requests to arbitrary internal resources (e.g., cloud metadata endpoints such as 169.254.169.254 or other tenants' resources). Because Kyverno executes these requests using its cluster-wide high-privilege ServiceAccount (a Confused Deputy problem), the responses—potentially including other tenants' secrets and cloud IAM credentials—are returned in the PolicyReport and can be read by the attacker, breaking multi-tenant isolation.
Характеристики атаки
Последствия
Строка CVSS v4.0