CVE-2026-22039: Privilege Escalation in Kyverno

La vulnerabilidad de elevación de privilegios en Kyverno permite a atacantes con acceso limitado a un clúster de Kubernetes, explotar la función apiCall dentro de las políticas para ejecutar acciones que normalmente estarían fuera de su alcance. Esto podría incluir la modificación de configuraciones críticas del clúster, la creación de recursos con permisos elevados o incluso el acceso a datos sensibles. El impacto potencial es significativo, ya que un atacante podría obtener control total sobre el clúster, comprometiendo todas las aplicaciones y datos alojados en él. La naturaleza de Kyverno como herramienta de gestión de políticas amplifica el riesgo, ya que las políticas maliciosas podrían propagarse rápidamente a través del clúster, afectando a múltiples recursos y usuarios.

Organizations heavily reliant on Kyverno for Kubernetes policy enforcement are at significant risk. This includes those using Kyverno to enforce strict security policies, manage access control, or automate deployments. Shared Kubernetes environments and those with complex policy configurations are particularly vulnerable.

• linux / server:

journalctl -u kyverno -f | grep -i "apiCall"

• go / supply-chain: Inspect Kyverno policy files for instances of apiCall with potentially insecure configurations. Look for policies that allow unrestricted access to Kubernetes API resources. • generic web: Monitor Kubernetes API audit logs for unusual patterns of API calls originating from Kyverno pods, particularly those involving resource modifications or privilege escalations.

1. 2026-02-02Disclosure

   disclosure

1. Reservado2026-01-05
2. Publicada2026-02-02
3. Modificada2026-02-04
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2026-22039 es actualizar Kyverno a la versión 1.15.3 o superior. Si la actualización inmediata no es posible, considere implementar políticas restrictivas que limiten el uso de la función apiCall a usuarios y contextos de confianza. Revise cuidadosamente todas las políticas existentes para identificar y eliminar cualquier uso inseguro de apiCall. Además, implemente un sistema de auditoría robusto para monitorear la actividad de Kyverno y detectar cualquier intento de explotación. Después de la actualización, confirme la mitigación revisando los logs de Kyverno en busca de errores relacionados con la función apiCall y verificando que las políticas se apliquen correctamente.