CVE-2026-22039: Bypass de limite de autorização no apiCall de Policy do Kyverno

Visão geral

O Kyverno é um motor de políticas usado por equipes de engenharia de plataformas cloud native. Segundo o registro, versões anteriores à 1.15.3 e versões a partir da 1.16.0 até antes da 1.16.3 contêm um bypass de limite de autorização na funcionalidade apiCall de recursos Policy com escopo de namespace. O aviso de segurança no GitHub e o commit de correção são referenciados no registro.

Impacto

Leitura entre namespaces, por exemplo de ConfigMaps e, onde permitido, de Secrets.
Escrita em escopo de cluster ou entre namespaces, por exemplo a criação de ClusterPolicies.
Quebra do isolamento de namespaces, pois as requisições são executadas com a identidade da ServiceAccount do controlador de admissão do Kyverno.

O registro atribui pontuação base CVSS 3.1 de 9.9 (crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.

Produtos e versões afetadas

O registro lista o Kyverno Kyverno como afetado nas versões abaixo de 1.15.3 e nas versões a partir de 1.16.0 abaixo de 1.16.3. As versões corrigidas citadas no registro são a 1.15.3 e a 1.16.3. O registro não traz informações sobre outras linhas de release.

Status de exploração

O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, e não há dados de EPSS ou SSVC. Nenhuma exploração ativa confirmada aparece nas fontes consultadas para esta análise.

Correção e mitigação

Atualize o Kyverno para a 1.15.3 ou a 1.16.3, ou para a versão corrigida correspondente na mesma linha.
Revise quais identidades podem criar recursos Policy com escopo de namespace e restrinja essa permissão a papéis confiáveis.
Revise Policies existentes que usam apiCall e substituição de variáveis de contexto em caminhos de requisição.
Revise o RBAC concedido à ServiceAccount do controlador de admissão do Kyverno e reduza-o ao estritamente necessário.
Consulte o aviso do fornecedor para as orientações de mitigação que ele oferece.

Orientações de detecção

Audite os logs da API do Kubernetes em busca de requisições feitas pela ServiceAccount do controlador de admissão do Kyverno a namespaces diferentes do namespace da Policy de origem.
Monitore a criação de ClusterPolicy ou de outros objetos de escopo de cluster por origens inesperadas.
O registro não contém assinaturas de detecção, portanto estas são sugestões de alto nível para adaptar ao logging local.

Limitações das informações disponíveis

O registro não descreve o quão prática é a exploração em uma configuração específica de cluster.
O status no KEV é não listado, enquanto os valores de EPSS e SSVC estão ausentes.
O conteúdo dos commits de correção não foi analisado além de sua presença no registro.
Não é possível saber, a partir do registro, se outras linhas de release são afetadas.

Perguntas frequentes

Qual é o problema central do CVE-2026-22039?

Usuários que podem criar Policies do Kyverno com escopo de namespace podem levar o controlador de admissão do Kyverno a fazer requisições à API do Kubernetes com a identidade da sua própria ServiceAccount, o que pode alcançar além do namespace da política.

Quais versões estão corrigidas?

Segundo o registro, as versões corrigidas são a 1.15.3 e a 1.16.3. Versões abaixo da 1.15.3, e versões a partir da 1.16.0 abaixo da 1.16.3, são listadas como afetadas.

Há exploração ativa conhecida desta vulnerabilidade?

O registro indica que ela não consta no KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas para esta análise.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.