Kyverno 在 NamespacedValidatingPolicy 中通过 CEL http.Get/http.Post 存在 SSRF，允许跨命名空间的数据访问

攻击者可以利用此 SSRF 漏洞访问集群内部的敏感资源，例如云提供商的元数据服务 (例如 169.254.169.254)，从而获取云凭证、配置信息等。此外，攻击者还可以通过构造恶意的策略，将请求转发到其他命名空间的服务，实现跨命名空间的数据窃取。由于 Kyverno 准入控制器具有较高的权限，该漏洞的潜在影响范围较大，可能导致整个集群的安全风险。类似于其他 SSRF 漏洞，攻击者可能利用此漏洞进行内部侦察，寻找进一步攻击的目标。

Organizations using Kyverno for policy enforcement in Kubernetes clusters are at risk, particularly those running versions 1.16.0 and above. Environments with extensive internal services and cloud integrations are especially vulnerable, as the SSRF vulnerability can be used to access sensitive data and credentials. Shared Kubernetes clusters with multiple namespaces and varying permission levels also increase the risk.

• linux / server:

journalctl -u kyverno -g 'http.Get' | grep -i '169.254.169.254'

• linux / server:

ps aux | grep kyverno | grep 'http.Get' 

• generic web:

curl -I <kyverno_admission_controller_endpoint> | grep 'Server: kyverno'

1. 2026-04-14Disclosure

   disclosure

1. 已保留2026-03-24
2. 发布日期2026-04-14
3. EPSS 更新日期2026-04-07

最有效的缓解措施是升级至 Kyverno 1.17.0 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：限制 Kyverno 策略中 HTTP 请求的来源，只允许访问受信任的域名和 IP 地址。实施网络策略，阻止 Kyverno 准入控制器访问不必要的内部服务和外部网络。监控 Kyverno 日志，查找异常的 HTTP 请求，并及时响应。在升级后，请验证策略是否正常工作，并确认漏洞已成功修复。