Kyverno の CEL http.Get/http.Post を介した SSRF により、NamespacedValidatingPolicy で名前空間をまたいだデータアクセスが可能

このSSRF脆弱性は、攻撃者がKyverno admission controllerを介して内部サービスへの不正アクセスを試みることを可能にします。具体的には、他の名前空間内のサービスへのアクセス、クラウドメタデータエンドポイント（169.254.169.254）へのアクセス、そしてポリシーエラーメッセージを介したデータ漏洩のリスクがあります。攻撃者は、内部ネットワーク内の機密情報にアクセスしたり、さらなる攻撃の足がかりとして利用したりする可能性があります。この脆弱性は、Log4ShellのようなSSRF攻撃と同様のパターンで悪用される可能性があります。

Organizations using Kyverno for policy enforcement in Kubernetes clusters are at risk, particularly those running versions 1.16.0 and above. Environments with extensive internal services and cloud integrations are especially vulnerable, as the SSRF vulnerability can be used to access sensitive data and credentials. Shared Kubernetes clusters with multiple namespaces and varying permission levels also increase the risk.

• linux / server:

journalctl -u kyverno -g 'http.Get' | grep -i '169.254.169.254'

• linux / server:

ps aux | grep kyverno | grep 'http.Get' 

• generic web:

curl -I <kyverno_admission_controller_endpoint> | grep 'Server: kyverno'

1. 2026-04-14Disclosure

   disclosure

1. 予約済み2026-03-24
2. 公開日2026-04-14
3. EPSS 更新日2026-04-07

この脆弱性への最も効果的な対策は、Kyvernoをバージョン1.17.0以降にアップグレードすることです。アップグレードが一時的に利用できない場合は、WAFやリバースプロキシを使用して、Kyverno admission controllerからの外部へのHTTPリクエストを制限することを検討してください。また、ポリシーの作成権限を厳格に管理し、最小限の権限でポリシーを作成するように設定することも重要です。アップグレード後、kyverno policy apply -n <namespace>コマンドを実行し、ポリシーが正常に適用されていることを確認してください。