Platform
go
Component
github.com/kyverno/kyverno
Opgelost in
1.16.1
1.17.2
1.17.0
CVE-2026-4789 beschrijft een Server-Side Request Forgery (SSRF) kwetsbaarheid in Kyverno, een Kubernetes policy engine. Deze kwetsbaarheid stelt gebruikers met namespace-scoped policy creatie permissies in staat om willekeurige HTTP-verzoeken te versturen via de Kyverno admission controller. Dit kan leiden tot ongeautoriseerde toegang tot interne services en data-exfiltratie. De kwetsbaarheid treedt op in Kyverno versies vanaf 1.16.0, en is verholpen in versie 1.17.0.
Een succesvolle exploitatie van CVE-2026-4789 kan aanzienlijke gevolgen hebben. Aanvallers kunnen interne services in andere namespaces benaderen, waartoe ze normaal gesproken geen toegang zouden hebben. Dit omvat potentieel gevoelige data die door deze services wordt verwerkt. Bovendien kunnen aanvallers cloud metadata endpoints (zoals 169.254.169.254) benaderen om cloud credentials te stelen of andere gevoelige informatie te verkrijgen. Data-exfiltratie is mogelijk via policy error messages, waardoor de aanvallers data uit het Kubernetes cluster kunnen stelen. De impact is vergelijkbaar met andere SSRF kwetsbaarheden waarbij interne resources blootgesteld worden aan externe aanvallers.
Op het moment van publicatie (2026-04-14) is er geen informatie beschikbaar over actieve exploits of KEV-listing. Er zijn geen publieke proof-of-concept exploits bekend. De kwetsbaarheid is echter significant vanwege de mogelijkheid om interne services te benaderen en data te exfiltreren, wat het een aantrekkelijk doelwit maakt voor aanvallers.
Organizations using Kyverno for policy enforcement in Kubernetes clusters are at risk, particularly those running versions 1.16.0 and above. Environments with extensive internal services and cloud integrations are especially vulnerable, as the SSRF vulnerability can be used to access sensitive data and credentials. Shared Kubernetes clusters with multiple namespaces and varying permission levels also increase the risk.
• linux / server:
journalctl -u kyverno -g 'http.Get' | grep -i '169.254.169.254'• linux / server:
ps aux | grep kyverno | grep 'http.Get' • generic web:
curl -I <kyverno_admission_controller_endpoint> | grep 'Server: kyverno'disclosure
Exploit Status
EPSS
0.02% (5% percentiel)
CVSS-vector
De primaire mitigatie voor CVE-2026-4789 is het upgraden naar Kyverno versie 1.17.0 of hoger. Als een directe upgrade niet mogelijk is, overweeg dan tijdelijke workarounds. Beperk de permissies van gebruikers die policy's kunnen aanmaken, zodat ze geen HTTP-verzoeken kunnen uitvoeren. Implementeer een Web Application Firewall (WAF) of proxy om HTTP-verzoeken te filteren en te blokkeren die naar ongewenste bestemmingen gaan. Controleer de Kyverno policy configuratie om te zorgen dat er geen onnodige HTTP-verzoeken worden toegestaan. Na de upgrade, verifieer de fix door een policy te creëren die een HTTP-verzoek naar een interne service probeert te versturen en controleer of dit wordt geblokkeerd.
Actualice Kyverno a una versión posterior a la 1.16.0 para mitigar la vulnerabilidad SSRF. Esto evitará el uso irrestricto de funciones HTTP CEL y protegerá contra posibles ataques SSRF.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2026-4789 is a HIGH severity Server-Side Request Forgery (SSRF) vulnerability affecting Kyverno versions 1.16.0 and later. It allows unauthorized access to internal services and cloud metadata.
You are affected if you are running Kyverno version 1.16.0 or later and have not upgraded to version 1.17.0 or a later version. Ensure your Kyverno CRDs are enabled, as this is the default configuration.
Upgrade Kyverno to version 1.17.0 or later. As a temporary workaround, restrict network access and implement strict network policies.
There is currently no evidence of active exploitation, but the vulnerability's nature makes it a potential target.
Refer to the official Kyverno security advisory for detailed information and updates: [https://kyverno.io/security/advisories/kyverno-sa-001/](https://kyverno.io/security/advisories/kyverno-sa-001/)
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je go.mod-bestand en we vertellen je direct of je getroffen bent.