Kyverno — policy engine cho Kubernetes — vừa công bố 7 lỗ hổng critical cùng lúc (ngày 05/11/2026), tất cả đều vá trong bản 1.19.2. Đây là dạng lỗi nguy hiểm nhất với cluster multi-tenant: một tenant ở một namespace có thể leo lên cluster-admin.

Các CVE

  • CVE-2026-122303, CVE-2026-122304, CVE-2026-122310, CVE-2026-122311, CVE-2026-122313: CVSS 9.9 (v3.1) / 9.4 (v4.0)
  • CVE-2026-122302: CVSS 9.8 — generate rules kiểm tra quyền của controller thay vì của tác giả, nên namespace admin vượt qua RBAC
  • CVE-2026-122321: CVSS 7.2
  • Thêm một CVE phát hiện sau đó, CVE-2026-124440 (08/11, CVSS 9.4 v4.0, chỉ ảnh hưởng 1.19.1) — cũng vá trong 1.19.2.

Cơ chế chung: confused deputy

Điểm chung của cả 7 lỗi: Kyverno chạy bằng một ServiceAccount có quyền rất cao, nhưng khi xử lý policy của tenant thì không kiểm tra đúng quyền của người tạo policy. Ví dụ:

  • CVE-2026-122303: tenant tạo NamespacedMutatingPolicy với biểu thức CEL giả mạo metadata.namespace của namespace khác — controller đặc quyền xử lý và ghi đè Secret, Deployment hay policy ở namespace khác.
  • CVE-2026-122311: path traversal qua resource.get() / resource.post() — chèn .. vào đường dẫn để đọc/ghi object bất kỳ trong cluster.
  • CVE-2026-122302: generate rules nhắm sang namespace khác hoặc tài nguyên cluster-scoped.

Nói đúng mức độ: không phải lỗi nào cũng tự động cho cluster-admin — quyền thực tế leo được phụ thuộc vào quyền RBAC của ServiceAccount Kyverno trên cluster đó. Cluster nào cấp cho Kyverno quyền cluster-admin thì rủi ro cao nhất. Dù vậy, trong môi trường multi-tenant, chỉ cần một tenant tạo được Policy trong namespace của mình là đủ điều kiện khai thác.

Tình trạng khai thác: tới 05/11 chưa có PoC công khai hay khai thác thực tế được báo cáo, chưa vào CISA KEV. Đây là vá phòng ngừa — nhưng với điểm 9.9 thì không nên để lâu.

Cần làm gì:

  1. Nâng Kyverno lên 1.19.2 trở lên.
  2. Rà lại ai có quyền tạo Policy trong namespace — cho tới khi vá xong, coi quyền đó gần như cluster-admin.
  3. Kiểm tra quyền RBAC của ServiceAccount Kyverno và thu hẹp nếu đang thừa.

Nguồn: