Kyverno: обход политик через исключения стал возможен в версиях до v1.13.0

Kyverno версий с v1.9.0 по v1.12.7 содержит уязвимость в обработке исключений политики. При использовании политики в режиме enforce совместно с двумя PolicyExceptions, менее строгая из них получает приоритет. Это позволяет злоумышленнику обойти политику, создав имя ресурса, соответствующее шаблону второго исключения (например, 'ingress').

Уязвимость может быть использована для обхода политик, блокирующих, например, hostPath volumes. Уязвимость устранена в версии v1.13.0. Оценка CVSS 9.4 (CRITICAL).

Источник: NVD