Eine Sicherheitslücke in der Open‑Source‑Software Kyverno erlaubt es einem entfernten, authentifizierten Angreifer, seine Berechtigungen innerhalb eines Kubernetes‑Clusters zu erhöhen. Die Schwachstelle wurde im Rahmen einer Sicherheitsberatung des CERT‑Bund identifiziert und unter der Kennzeichnung WID‑SEC‑2026‑2280 veröffentlicht.
Hintergrund
Kyverno ist ein Policy‑Engine‑Tool, das in Kubernetes‑Umgebungen eingesetzt wird, um Richtlinien für Ressourcen zu definieren und durchzusetzen. Die Software wird von vielen Unternehmen und öffentlichen Einrichtungen genutzt, um Compliance‑ und Sicherheitsanforderungen automatisiert zu prüfen.
Technische Details
Die betroffene Komponente ermöglicht es einem authentifizierten Benutzer, über speziell gestaltete Anfragen die Kontrolle über Ressourcen zu erlangen, die normalerweise nur privilegierten Konten vorbehalten sind. Die Lücke beruht auf einer fehlerhaften Validierung von Eingabedaten, die zu einer unautorisierten Rechteausweitung führt.
Betroffene Systeme
Alle Installationen von Kyverno, die die verwundbare Version einsetzen und keine zusätzlichen Schutzmechanismen konfiguriert haben, können potenziell von einem Angreifer ausgenutzt werden. Der Angriff erfordert jedoch, dass der Angreifer bereits über gültige Anmeldeinformationen im Cluster verfügt.
Empfohlene Gegenmaßnahmen
Der CERT‑Bund rät Administratoren, unverzüglich auf die aktuelle Version von Kyverno zu aktualisieren, in der die Schwachstelle behoben ist. Zusätzlich sollten Zugriffsrechte streng nach dem Prinzip der minimalen Rechtevergabe (Least‑Privilege) konfiguriert und Netzwerk‑Policies eingesetzt werden, um den Zugriff auf die Kyverno‑Komponente zu beschränken.
Reaktion des Herstellers
Der Entwickler von Kyverno hat nach Bekanntwerden der Meldung ein Sicherheitspatch veröffentlicht und empfiehlt allen Nutzern, das Update innerhalb von 48 Stunden zu implementieren. In den Release‑Notes wird die Schwachstelle als kritisch eingestuft.
Ausblick
Weitere Analysen werden prüfen, ob ähnliche Validierungsfehler in verwandten Komponenten von Kubernetes existieren. Nutzer sollten zudem regelmäßige Sicherheitsüberprüfungen ihrer Cluster durchführen, um vergleichbare Risiken frühzeitig zu erkennen.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung