تخطي التحقق من الصور في Kyverno قبل 1.19.2 عبر ذعر نوع الإشهاد

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي Kyverno قبل الإصدار 1.19.2 على تأكيد نوع غير مُتحقق منه في buildStatementMap يسمح للمهاجمين دون مصادقة بتعطيل محرك السياسات عبر بيانات إشهاد مصممة خصيصًا. يمكن للمهاجمين دفع بيان مرجع OCI مع حقل نوع غير نصي لتخطي التحقق من الصور تحت سياسة الفشل Ignore أو التسبب في حلقة تعطيل لوحدة تحكم التقارير (reports-controller).

المعالجة

1. أحصِ جميع نشرات kyverno kyverno، بما فيها بيئات الاختبار.
2. رقِّ kyverno kyverno إلى الإصدار 1.19.2.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/kyverno/kyverno/security/advisories/GHSA-24cc-9745-hxfc
• تحذيرhttps://www.vulncheck.com/advisories/kyverno-before-1.19.2-image-verification-bypass-via-attestation-type-panic