Kyverno tiene SSRF a través de CEL http.Get/http.Post en NamespacedValidatingPolicy que permite el acceso a datos entre espacios de nombres

La vulnerabilidad SSRF en Kyverno permite a un atacante, con los permisos necesarios para crear políticas, realizar solicitudes HTTP arbitrarias a través del controlador de admisión. Esto significa que pueden acceder a servicios internos que normalmente no serían accesibles desde fuera del clúster de Kubernetes, como bases de datos, sistemas de gestión de secretos o servicios de monitorización. Además, pueden acceder a endpoints de metadatos en la nube (como 169.254.169.254) para obtener información confidencial sobre la infraestructura. La exfiltración de datos se puede lograr incluyendo la respuesta de la solicitud HTTP en un mensaje de error de la política, que luego puede ser observado por el atacante. El impacto potencial es alto, ya que permite el acceso no autorizado a recursos críticos y la posible fuga de información sensible.

Organizations using Kyverno for policy enforcement in Kubernetes clusters are at risk, particularly those running versions 1.16.0 and above. Environments with extensive internal services and cloud integrations are especially vulnerable, as the SSRF vulnerability can be used to access sensitive data and credentials. Shared Kubernetes clusters with multiple namespaces and varying permission levels also increase the risk.

• linux / server:

journalctl -u kyverno -g 'http.Get' | grep -i '169.254.169.254'

• linux / server:

ps aux | grep kyverno | grep 'http.Get' 

• generic web:

curl -I <kyverno_admission_controller_endpoint> | grep 'Server: kyverno'

1. 2026-04-14Disclosure

   disclosure

1. Reservado2026-03-24
2. Publicada2026-04-14
3. EPSS actualizado2026-04-07

La solución principal es actualizar Kyverno a la versión 1.17.0 o superior, que corrige esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar mitigaciones temporales. Una opción es restringir el acceso a los endpoints de metadatos en la nube mediante reglas de firewall o políticas de red. Otra opción es revisar y auditar las políticas de Kyverno existentes para identificar y eliminar cualquier política que pueda estar siendo utilizada para realizar solicitudes HTTP no autorizadas. Se recomienda monitorear los logs de Kyverno en busca de patrones de tráfico inusuales que puedan indicar un intento de explotación. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta revisando los logs y realizando pruebas de penetración.