CVE-2026-13208
Təsvir
KubeVirt-in virt-handler domen bildiriş serverində qüsur aşkar edilib. HandleDomainEvent və HandleK8SEvent üçün gRPC handler-ləri VMI identikliyini (namespace/name) yalnız sorğu gövdəsindən çıxarır və onu bağlantının mənbəyi ilə yoxlamır. Hər virt-launcher pod hər VMI üçün ayrıca pipe socket vasitəsilə qoşulur, lakin pipe yolundan server handler-lərinə heç bir identiklik teqi ötürülmür. Bu, kompromisə uğramış virt-launcher prosesinə eyni node-da planlaşdırılmış hər hansı digər VMI üçün saxta domen həyat dövrü hadisələri göndərməyə imkan verir və nəticədə virt-handler həmin VMI-in vəziyyətini səhvən yeniləyir və onun həyat dövrü idarəetməsini pozur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kubevirt kubevirt | Aralıq göstərilməyib | — |
| redhat openshift_virtualization | 4 ≤ v ≤ 4.22.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.