CVE-2026-105769: Furto token Azure in kaniko

Il CVE-2026-105769 riguarda kaniko, container builder diffuso in Kubernetes e CI/CD. Una regex non ancorata nel credential helper ACR permette a hostname contenenti .azurecr.io (o .azurecr.cn, .de, .us) di essere riconosciuti come registry legittimi. Quando una Dockerfile riferisce immagini da host lookalike, kaniko estrae token Azure AD e li invia a endpoint attaccante. Il furto avviene durante il parsing della Dockerfile, senza eseguire RUN o push.

Il punteggio CVSS è 9,3 (gravità critica). Il rischio è elevato perché il token rubato può essere usato contro Azure Resource Manager con tutti i permessi dell'identità di build, e può essere scambiato per credenziali di accesso a qualsiasi ACR a cui l'identità ha accesso. La vulnerabilità interessa versioni kaniko precedenti a 1.25.20, che è stata rilasciata come fix. I segnali social riportano informazioni coerenti sulla criticità della falla e sulla disponibilità del patch.

Azione immediata: aggiornare kaniko a 1.25.20 o superiore. Se il vostro CI/CD usa kaniko con Azure, verificate che tutti i nodi build e container runner abbiano la versione corretta. Non usare kaniko in versione anteriore a 1.25.20 in ambienti che elaborano Dockerfile non verificati o che combinano registry pubbliche e private. Auditate le Dockerfile presenti nei vostri repository per identificare possibili Dockerfile malevoli che possono richiamare registry lookalike.