CVSS 9.0 以上
CVE-2026-122321
要約
Kyverno 1.18.0 から 1.19.2 未満の verifyImages には、署名検証をバイパスできる問題がある。検証結果のキャッシュが、検証済みダイジェストではなくイメージ参照文字列(タグなど)をキーにしているため、キャッシュにヒットすると署名と証明(アテステーション)の検証が省略される。ワークロードを送信でき、レジストリのタグを移動できる攻撃者は、署名済みイメージでキャッシュを温めてからタグを付け替えることで、Kyverno にワークロードを許可させ、mutateDigest で未検証のダイジェストを固定させることができる。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Kyverno
判定の理由
- CVSS 9.0 以上