プラットフォーム
go
コンポーネント
github.com/kyverno/kyverno
修正版
1.15.4
1.16.1
1.15.3
1.15.3
CVE-2026-22039は、KyvernoのPolicy機能におけるapiCallの処理に存在する特権昇格の脆弱性です。この脆弱性を悪用されると、攻撃者はクロスネームスペース間で権限を昇格させ、意図しないアクセスや操作を実行する可能性があります。影響を受けるバージョンはKyverno 1.15.3以前です。現在、1.15.3へのアップデートで脆弱性が修正されています。
この脆弱性は、攻撃者がKyvernoのポリシー設定を悪用し、他の名前空間のリソースに不正にアクセスしたり、変更したりすることを可能にします。例えば、攻撃者はポリシー内でapiCallを使用して、本来アクセス権限のないリソースに対して操作を実行できる可能性があります。これにより、機密情報の漏洩、システムの改ざん、さらには完全なシステム制御の奪取といった深刻な被害が発生する可能性があります。この脆弱性は、Kubernetes環境におけるセキュリティを著しく損なうリスクを孕んでいます。
この脆弱性は、2026年2月2日に公開されました。現時点では、公開されているPoCは確認されていませんが、特権昇格の脆弱性であるため、悪用される可能性は高いと考えられます。CISA KEVカタログへの登録状況は不明です。攻撃者は、Kyvernoのポリシー設定を調査し、脆弱性を悪用する可能性があります。
Organizations heavily reliant on Kyverno for Kubernetes policy enforcement are at significant risk. This includes those using Kyverno to enforce strict security policies, manage access control, or automate deployments. Shared Kubernetes environments and those with complex policy configurations are particularly vulnerable.
• linux / server:
journalctl -u kyverno -f | grep -i "apiCall"• go / supply-chain:
Inspect Kyverno policy files for instances of apiCall with potentially insecure configurations. Look for policies that allow unrestricted access to Kubernetes API resources.
• generic web:
Monitor Kubernetes API audit logs for unusual patterns of API calls originating from Kyverno pods, particularly those involving resource modifications or privilege escalations.
disclosure
エクスプロイト状況
EPSS
0.05% (16% パーセンタイル)
CISA SSVC
この脆弱性への最も効果的な対策は、Kyvernoをバージョン1.15.3以降にアップデートすることです。アップデートが困難な場合は、一時的な緩和策として、ポリシー内でapiCallの使用を制限する、または特定の名前空間へのアクセスを厳密に制御するなどの対策を検討してください。また、WAFやネットワークポリシーを使用して、不正なリクエストをブロックすることも有効です。アップデート後、ポリシーの動作を検証し、意図しない動作がないことを確認してください。
Kyverno をバージョン 1.16.3 以降にアップデートしてください。これにより、クロスネームスペースの権限昇格の脆弱性が修正されます。アップデートは、更新されたマニフェストを適用するか、Kubernetes パッケージマネージャーを使用することで実行できます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-22039は、KyvernoのPolicy機能におけるapiCallの処理に存在する特権昇格の脆弱性です。攻撃者はこの脆弱性を悪用し、クロスネームスペース間で権限を昇格させることが可能です。
Kyvernoのバージョンが1.15.3以前の場合は、影響を受けます。バージョン1.15.3以降にアップデートすることで、この脆弱性は修正されます。
Kyvernoをバージョン1.15.3以降にアップデートしてください。アップデートが困難な場合は、ポリシー内でapiCallの使用を制限するなどの緩和策を検討してください。
現時点では、公開されているPoCは確認されていませんが、特権昇格の脆弱性であるため、悪用される可能性は高いと考えられます。
Kyvernoの公式アドバイザリは、KyvernoのドキュメントまたはGitHubリポジトリで確認できます。
CVSS ベクトル
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。