平台
go
组件
github.com/kyverno/kyverno
修复版本
1.15.4
1.16.1
1.15.3
1.15.3
CVE-2026-22039 描述了 Kyverno 中一项特权提升漏洞，该漏洞源于 Policy apiCall 的处理方式。攻击者可以利用此漏洞在跨命名空间中提升权限，从而可能获得对集群的未经授权的访问和控制。该漏洞影响 Kyverno 1.15.3 之前的版本。建议立即升级到 1.15.3 以缓解风险。
此漏洞的潜在影响非常严重。攻击者可以利用它绕过 Kyverno 的访问控制策略，从而访问和修改敏感数据，执行恶意操作，甚至完全控制受影响的 Kubernetes 集群。攻击者可能利用此漏洞窃取机密信息，破坏应用程序，或发起进一步的攻击。由于 Kyverno 广泛用于 Kubernetes 环境中，因此该漏洞的潜在影响范围非常广，可能影响大量组织和用户。该漏洞的利用方式类似于其他跨命名空间权限提升漏洞，攻击者可能需要先获得对集群的有限访问权限，然后利用该漏洞提升其权限。
目前尚无公开的利用代码 (PoC)，但由于漏洞的严重性和潜在影响，预计未来可能会出现。该漏洞已添加到 CISA KEV 目录，表明其具有中等概率被利用。建议密切关注安全社区的动态，并及时采取缓解措施。
Organizations heavily reliant on Kyverno for Kubernetes policy enforcement are at significant risk. This includes those using Kyverno to enforce strict security policies, manage access control, or automate deployments. Shared Kubernetes environments and those with complex policy configurations are particularly vulnerable.
• linux / server:
journalctl -u kyverno -f | grep -i "apiCall"• go / supply-chain:
Inspect Kyverno policy files for instances of apiCall with potentially insecure configurations. Look for policies that allow unrestricted access to Kubernetes API resources.
• generic web:
Monitor Kubernetes API audit logs for unusual patterns of API calls originating from Kyverno pods, particularly those involving resource modifications or privilege escalations.
disclosure
漏洞利用状态
EPSS
0.05% (16% 百分位)
CISA SSVC
最有效的缓解措施是立即将 Kyverno 升级到 1.15.3 或更高版本。如果升级会中断现有工作流程，可以考虑临时回滚到之前的稳定版本，但应尽快升级到最新版本。此外，建议审查 Kyverno 的策略配置，确保策略遵循最小权限原则，并限制 Policy apiCall 的使用。监控 Kyverno 的日志，寻找任何异常活动，并实施适当的网络安全控制措施，以防止未经授权的访问。
将 Kyverno 更新到 1.16.3 或更高版本。这修复了跨命名空间的权限提升漏洞。可以通过应用更新的 manifests 或使用 Kubernetes 包管理器来执行更新。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-22039 是一项关键级别的特权提升漏洞，影响 Kyverno 1.15.3 之前的版本。攻击者可以通过 Policy apiCall 跨命名空间提升权限。
如果您正在使用 Kyverno 1.15.3 之前的版本，则可能受到此漏洞的影响。请立即检查您的 Kyverno 版本并升级。
将 Kyverno 升级到 1.15.3 或更高版本。如果升级会中断现有工作流程，可以考虑临时回滚到之前的稳定版本，但应尽快升级。
目前尚无公开的利用代码，但由于漏洞的严重性和潜在影响，预计未来可能会出现。
请访问 Kyverno 的官方网站或 GitHub 仓库，查找有关此漏洞的公告和修复信息。
CVSS 向量
上传你的 go.mod 文件，立即知道是否受影响。