Veille sécuritéBackend & données
P3Critique
Une validation insuffisante du nom d’hôte dans l’assistant d’identifiants ACR de kaniko pouvait transmettre un jeton d’accès Azure à un registre contrôlé par un attaquant. Les versions de kaniko antérieures à 1.25.20 sont affectées ; reconstruire et déployer les composants depuis la version corrigée ou une version ultérieure.
Go
IdentifiantCVE-2026-105769
GravitéCritique
Exploitationnon connue / non déterminée
Correctif1.25.20
Source : Avis GitHub GHSA-5q7h-w9jf-cx97
Analyse technique
L’assistant pouvait considérer comme valide un hôte contenant un suffixe de registre Azure sans vérifier correctement le domaine et lui envoyer un jeton Entra ID.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-11-05T17:48:54Z, dans la période demandée.
ImpactUn attaquant peut obtenir un jeton d’accès Azure et, selon les autorisations de l’identité, accéder à des ressources Azure ou à des registres.
Versions affectées< 1.25.20
Version corrigée1.25.20
ContournementNe pas exposer d’identifiants Azure aux constructions non fiables si la mise à niveau n’est pas possible.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
EPSS0,20% · percentile 9,4%
Publication2026-11-05T17:48:54Z
Mise à jour2026-11-05T17:48:54Z
Action recommandée
Reconstruire et déployer kaniko, son warmer et l’assistant ACR depuis la version 1.25.20 ou ultérieure ; protéger les identifiants Azure des constructions non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).