حجب الخدمة في Kyverno قبل 1.19.2 عبر ذعر مشغل In و NotIn

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي Kyverno قبل الإصدار 1.19.2 على ثغرة حجب الخدمة في مشغلي In و NotIn والتي تسمح للمهاجمين بتعطيل محرك السياسات عبر تأكيد نوع غير مُتحقق منه. يمكن للمهاجمين إرسال موارد تؤدي قيمها المُقاسة عبر JMESPath إلى مصفوفات من الأعداد الصحيحة، أو القيم المنطقية، أو الأنواع المختلطة، مما يؤدي إلى حالة ذعر تعطل التحكم في القبول وفرض السياسات.

المعالجة

1. أحصِ جميع نشرات kyverno kyverno، بما فيها بيئات الاختبار.
2. رقِّ kyverno kyverno إلى الإصدار 1.19.2.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/kyverno/kyverno/security/advisories/GHSA-r2p2-3892-5jjf
• تحذيرhttps://www.vulncheck.com/advisories/kyverno-before-1.19.2-denial-of-service-via-in-notin-operator-panic