Kyverno possui SSRF via CEL http.Get/http.Post em NamespacedValidatingPolicy permite acesso a dados entre namespaces

A exploração bem-sucedida desta vulnerabilidade SSRF pode permitir que um atacante acesse recursos internos protegidos, como serviços em outros namespaces, endpoints de metadados da nuvem (como 169.254.169.254) e até mesmo exfiltrar dados sensíveis através de mensagens de erro de políticas. Um atacante poderia, por exemplo, ler informações de configuração de outros serviços dentro do cluster Kubernetes, ou obter credenciais armazenadas em serviços internos. A capacidade de fazer requisições arbitrárias torna esta vulnerabilidade particularmente perigosa, pois permite a um atacante contornar controles de segurança e potencialmente comprometer a infraestrutura subjacente.

Organizations using Kyverno for policy enforcement in Kubernetes clusters are at risk, particularly those running versions 1.16.0 and above. Environments with extensive internal services and cloud integrations are especially vulnerable, as the SSRF vulnerability can be used to access sensitive data and credentials. Shared Kubernetes clusters with multiple namespaces and varying permission levels also increase the risk.

• linux / server:

journalctl -u kyverno -g 'http.Get' | grep -i '169.254.169.254'

• linux / server:

ps aux | grep kyverno | grep 'http.Get' 

• generic web:

curl -I <kyverno_admission_controller_endpoint> | grep 'Server: kyverno'

1. 2026-04-14Disclosure

   disclosure

1. Reservado2026-03-24
2. Publicada2026-04-14
3. EPSS atualizado2026-04-07

A mitigação primária é atualizar para a versão 1.17.0 do Kyverno, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar workarounds como restringir o acesso de rede do Kyverno a recursos externos, utilizando políticas de rede para isolar o Kyverno de outros serviços sensíveis. Implementar regras de WAF (Web Application Firewall) para bloquear requisições HTTP suspeitas originadas do Kyverno também pode ajudar a mitigar o risco. Após a atualização, verifique se a vulnerabilidade foi corrigida executando testes de penetração ou utilizando ferramentas de análise de segurança.