CVE-2026-124440: Bypass autorizzazione in Kyverno 1.19.1

Bypass autorizzazione in Kyverno 1.19.1 consente escalation a cluster admin. Aggiornare a 1.19.2 immediatamente

Il CVE-2026-124440 descrive una vulnerabilità di bypass dell'autorizzazione in Kyverno, il policy engine per Kubernetes, che colpisce la versione 1.19.1. La falla risiede nel meccanismo apiCall namespace clamp: tramite percent-escape malformati, gli attaccanti possono oltrepassare i controlli di autorizzazione e eseguire richieste API cross-namespace e cluster-scoped. Questo colpisce direttamente chi gestisce cluster Kubernetes con Kyverno come strumento di enforcement delle policy di sicurezza.

La vulnerabilità ha un punteggio CVSS di 9,9, massima gravità. Lo stato è critico: la patch esiste (versione 1.19.2), ed è stata pubblicata il 2026-11-08. Nel contesto Kubernetes, questa falla è particolare perché sfrutta il ServiceAccount dell'admission-controller, il quale possiede permessi ampi per leggere e modificare risorse in tutto il cluster. I segnali iniziali su X mostrano consapevolezza della vulnerabilità, con 2 post nelle ultime 24 ore che segnalano la criticità e la disponibilità della patch.

La risposta difensiva richiede azioni immediate: verificare la versione di Kyverno in produzione e, se è 1.19.1, aggiornare a 1.19.2 con priorità massima. Disabilitare temporaneamente le Policy che usano apiCall. Monitorare i log dell'admission-controller per tentativi di sfruttamento (richieste cross-namespace, creazione di webhook), soprattutto da utenti con accesso limitato al namespace. Controllare le Policy attuali per identificare le più a rischio con apiCall.

In sintesi

Cosa: Falla di bypass dell'autorizzazione nel apiCall namespace clamp di Kyverno che consente ai tenant di uno spazio dei nomi di eseguire richieste API cross-namespace e cluster-scoped allegando percent-escape malformati al urlPath. Gli attaccanti possono creare Policy nello spazio dei nomi il cui apiCall si esegue come ServiceAccount dell'admission-controller, permettendo lettura di risorse di altri namespace e creazione di webhook mutanti, con escalation a cluster admin.
Gravità: CVSS 9,9 - Critical. La vulnerabilità consente l'escalation di privilegi da accesso limitato allo spazio dei nomi a controllo totale del cluster.
Versioni interessate: Kyverno dalla versione 1.19.1 fino a prima della versione 1.19.2
Correzione: Aggiornare Kyverno alla versione 1.19.2 o successive
Stato: Patch disponibile. Vulnerabilità pubblicata il 2026-11-08 su NVD
Azione: Verificare immediatamente quale versione di Kyverno è in uso in produzione. Se versione 1.19.1, applicare l'aggiornamento a 1.19.2 senza ritardi. Disabilitare le Policy con apiCall fino al patching, se possibile. Monitorare i log dell'admission-controller per attività anomale.

Fonti: NVD, CVE-2026-124440

← Tutti gli articoli