CVE-2023-26484

KubeVirt Kubernetes üçün virtual maşın idarəetmə əlavəsidir. 0.59.0 və əvvəlki versiyalarda, əgər zərərli istifadəçi virt-handler-in (KubeVirt node-daemon) işlədiyi Kubernetes node-unu ələ keçiribsə, virt-handler xidmət hesabı bütün node spesifikasiyalarını dəyişdirmək üçün istifadə edilə bilər. Bu, məsələn, klasterdəki bütün secret-ləri oxuya bilən və ya digər node-lardakı pod-lara exec edə bilən sistem səviyyəli imtiyazlı komponentləri cəlb etmək üçün sui-istifadə edilə bilər. Bu yolla, kompromisə uğramış node node-dan kənara imtiyazların yüksəldilməsi, potensial olaraq bütün klasterə tam imtiyazlı giriş əldə etmək üçün istifadə edilə bilər. İstifadəçi müəyyən bir node-u kompromisə uğratdıqdan sonra bunu istismar etməyin ən sadə yolu virt-handler xidmət hesabı ilə bütün digər node-ları planlaşdırıla bilməz vəziyyətə gətirmək və sadəcə yüksək imtiyazlı sistem-kritik komponentlərin öz node-unda görünməsini gözləməkdir. Dərc olunma vaxtına qədər heç bir yamaq mövcud deyil. Alternativ həll olaraq, gatekeeper istifadəçiləri `virt-handler` xidmət hesabının node-un spesifikasiyasını dəyişdirməsini bloklayacaq bir webhook əlavə edə bilərlər.