Koreasecurity

**Nome do Software Vulnerável e Versões Afetadas** Kyverno versões anteriores a 1.18.0 Kyverno versões anteriores a 1.17.2 Kyverno versões anteriores a 1.16.4 **Descrição** O recurso `apiCall` no ClusterPolicy anexa automaticamente o token de ServiceAccount do controlador de admissão a requisições HTTP externas. Como a URL do serviço não possui validação, ela pode ser direcionada para servidores controlados por atacantes. Dado que o ServiceAccount do controlador de admissão possui permissões para alterar configurações de webhook, o roubo deste token pode levar ao comprometimento total do cluster. **Recomendações** Atualize para a versão 1.18.0 ou superior. Atualize para a versão 1.17.2 ou superior. Atualize para a versão 1.16.4 ou superior. Rotacione os tokens de ServiceAccount.

**Nome do Software Vulnerável e Versões Afetadas** Istio versões anteriores a 1.28.6 Istio versões anteriores a 1.29.2 **Descrição** Quando um recurso RequestAuthentication é criado com um `jwksUri` apontando para um serviço interno, o istiod realiza uma requisição HTTP GET não autenticada para essa URL sem filtrar endereços IP de localhost ou link-local. Esse comportamento pode resultar na distribuição de dados sensíveis para proxies Envoy via configuração xDS. **Recomendações** Atualizar para a versão 1.28.6. Atualizar para a versão 1.29.2. Implantar uma `ValidatingAdmissionPolicy` para impedir a criação de recursos RequestAuthentication com valores suspeitos no campo `jwksUri`, como localhost, 127.0.0.0/8, 169.254.0.0/16 e suas variantes IPv6.

**Name of the Vulnerable Software and Affected Versions** Podman versões 4.8.0 até 5.8.1 **Description** Um problema de injeção de comando existe no backend de máquina HyperV dentro do arquivo `pkg/machine/hyperv/stubber.go`. O caminho da imagem da VM é inserido em uma string de aspas duplas do PowerShell sem sanitização, o que permite a injeção de subexpressões `$()`. Como o PowerShell avalia subexpressões dentro de strings com aspas duplas antes de executar o comando externo, um invasor que controle o caminho da imagem da VM por meio de um nome de máquina ou diretório de imagem manipulado pode executar comandos PowerShell arbitrários. Isso ocorre com os privilégios do processo Podman, o que, em instalações típicas do Windows, resulta na execução de código em nível de SYSTEM. Este problema afeta exclusivamente o Windows. **Recommendations** Atualizar para a versão 5.8.2.

**Name of the Vulnerable Software and Affected Versions** MinIO versions RELEASE.2022-11-08T05-27-07Z through RELEASE.2026-03-17T21-25-16Z **Description** MinIO has a JWT algorithm confusion issue in its OpenID Connect authentication. An attacker who knows the OIDC `ClientSecret` can forge identity tokens and obtain S3 credentials with any policy, including `consoleAdmin`. This allows an attacker to impersonate any user identity, access, modify, or delete data within the MinIO deployment. The attack is deterministic and has a 100% success rate. The attacker must have access to the OIDC `ClientSecret`, which may be found in environment variables, frontend OAuth configurations, mobile app bundles, CI/CD pipelines, or shared configuration files. **Recommendations** Upgrade to MinIO AIStor RELEASE.2026-03-17T21-25-16Z or later. As a workaround, ensure the OIDC `ClientSecret` is treated as a highly sensitive credential and is not exposed to untrusted parties.

**Name of the Vulnerable Software and Affected Versions** Tekton Pipelines versions 1.0.0 through 1.10.0