Vulnerabilidad en Kyverno (CVE-2025-29778)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-285 Autorización incorrecta

Fecha de publicación:

24/03/2025

Última modificación:

01/08/2025

Descripción

Kyverno es un motor de políticas diseñado para equipos de ingeniería de plataformas nativas de la nube. Antes de la versión 1.14.0-alpha.1, Kyverno ignoraba subjectRegExp y IssuerRegExp al verificar la firma de artefactos con el modo sin clave. Esto permite al atacante implementar recursos de Kubernetes con artefactos firmados por un certificado inesperado. Implementar estos recursos de Kubernetes no autorizados puede comprometer por completo el clúster de Kubernetes. La versión 1.14.0-alpha.1 incluye un parche para este problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.80 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno