CVE-2026-84200: Kritisk fejl i Kyverno policy-undtagelser

CVE-2026-84200 er en fejl i Kyverno, et værktøj der håndhæver sikkerhedspolitikker i Kubernetes-klynger (samlinger af servere, der kører containere). Kyverno kan sættes til at blokere farlige konfigurationer, for eksempel at containere får adgang til værtsmaskinens filsystem via såkaldte hostPath-volumener. Administratorer kan lave undtagelser fra en politik, kaldet PolicyExceptions, til specifikke ressourcer. Fejlen betyder, at hvis der findes to undtagelser til samme politik, vinder den mindst restriktive. En angriber kan derfor navngive en ressource, så den matcher et mønster i den mindst strenge undtagelse, for eksempel et navn der indeholder ‘ingress’, og på den måde omgå en politik, der ellers skulle blokere den.

Det rammer organisationer, der kører Kubernetes-klynger med Kyverno version v1.9.0 til og med v1.12.7 installeret som politikmotor, og som bruger PolicyExceptions til at undtage udvalgte ressourcer fra politikker i enforce-tilstand (håndhævende tilstand). Det gælder både virksomheder med egen drift af Kubernetes og kommuner, der hoster fagsystemer i container-platforme.

En bruger eller tjeneste med begrænset adgang til klyngen, for eksempel en udvikler med adgang til et navnerum eller en kompromitteret CI/CD-pipeline, kan oprette en ressource med et navn, der udnytter fejlen. Dermed kan vedkommende omgå en politik, der skulle blokere hostPath-volumener, og få en container til at læse eller skrive direkte på værtsmaskinens filsystem. I praksis kan det føre til, at angriberen bryder ud af containeren og får adgang til hele værtsserveren og andre containere på samme node.

CVSS-score er 9,0 ud af 10, kritisk. Angrebet kræver adgang til samme netværkssegment som klyngen (adjacent network), altså ikke direkte fra internettet, og angriberen skal have lave rettigheder i klyngen i forvejen, for eksempel adgang til at oprette ressourcer i et navnerum. Der kræves ingen handling fra en bruger, og angrebet kan udføres uden interaktion. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, fordi angrebet kan sprede sig ud over den ressource, der oprindeligt blev udnyttet. Der er ikke oplysninger om, at fejlen aktivt udnyttes i angreb.

Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:

1. Opdatér Kyverno til version v1.13.0 eller nyere. Det lukker fejlen.
2. Gennemgå jeres PolicyExceptions og fjern eller stram dem, der er bredt formuleret, indtil opdateringen er gennemført.
3. Kontrollér, om der findes ressourcer i klyngen med navne, der matcher mønstre i eksisterende undtagelser, som ikke burde være undtaget.
4. Begræns, hvem der kan oprette ressourcer i navnerum, hvor følsomme politikker gælder, for eksempel politikker mod hostPath-volumener.
5. Gennemgå logs for admission-controlleren for uventede godkendelser af ressourcer, der normalt ville være blokeret.
6. Har I ikke selv kapacitet til at vurdere jeres Kyverno-opsætning og PolicyExceptions, bør I hente hjælp udefra til gennemgangen.