概要
Kubernetesポリシーエンジン「Kyverno」のバージョン1.17.2 / 1.16.4未満に、サービス拒否（DoS）脆弱性が存在します。
forEach ミューテーションハンドラに未チェックの型アサーションがあり、PolicyまたはClusterPolicyを作成する権限を持つユーザーが、クラスタ全体のバックグラウンドコントローラを永続的なCrashLoopBackOffに陥れることができます。同じバグがアドミッションコントローラにも影響し、一致するすべてのリソース操作がブロックされます。
レガシーエンジンのみが影響を受け、CELベースのポリシーは対象外です。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 7.7（High） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な権限レベル | 低 |
| CWE | CWE-617（到達可能なアサーション） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン | 修正バージョン |
|---|---|---|---|
| Kyverno | kyverno | 1.17.2未満 | 1.17.2 |
| Kyverno | kyverno | 1.16.4未満 | 1.16.4 |
修正バージョンと回避策
- 修正: Kyverno 1.17.2または1.16.4以降へアップデート
- 回避策: 問題のポリシーを削除してコントローラを復旧。CELベースのポリシーへの移行を検討
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。