CVE-2026-54523: escalation namespace Kyverno 1.18.0

Il CVE-2026-54523 è una vulnerabilità critical in Kyverno, policy engine per piattaforme cloud-native basate su Kubernetes, in versioni dalla 1.18.0: il compilatore CEL della NamespacedMutatingPolicy espone la libreria generator alle matchConditions, consentendo a una policy scoped su un namespace di eseguire generator.apply() con namespace target arbitrario. L'admission controller di Kyverno, che opera con privilegi cluster-wide, non enforza correttamente il namespace scope originario, permettendo creazione di risorse in namespace non autorizzati.

La gravità è massima (CVSS 9,6, critical). Un utente che può creare NamespacedMutatingPolicy in un singolo namespace può indurre il controller a generare ConfigMaps, Secrets, RoleBindings, NetworkPolicies e altre risorse in namespace diversi e non autorizzati. In ambienti multi-tenant, questo abilita escalation di privilegio e modifica non controllata di risorse cluster con le stesse autorizzazioni del controller (cluster-wide). La falla è stata documentata il 26 agosto 2026; segnali social a fine ottobre 2026 indicano awareness pubblica della vulnerabilità.

Gli amministratori Kubernetes devono aggiornare Kyverno a versione 1.18.2 o successive senza ritardo. Verificare versione con 'kyverno version'; se versione è dalla 1.18.0 fino a quelle antecedenti 1.18.2, pianificare aggiornamento immediato. Controllare RBAC per limitare creazione di NamespacedMutatingPolicy solo agli admin di sistema, non ai tenant. Abilitare audit logging per policy-create events in namespace non-admin e monitorare creazione anomala di Secrets e RoleBindings cross-namespace come segnale di sfruttamento.

La validazione nel compilatore CEL (pkg/cel/policies/mpol/validate.go) e in GenerateResources (pkg/cel/libs/context.go) è stata rinforzata nella versione 1.18.2 per enforcing namespace scope e rifiutare target cross-namespace. Non sono noti workaround alternativi all'aggiornamento.