CVE-2025-64432
Açıklama
KubeVirt, Kubernetes için bir sanal makine yönetimi eklentisidir. 1.5.3 ve altı sürümler ile 1.6.0, Kubernetes toplama katmanının kimlik doğrulama akışının kusurlu bir uygulamasını içeriyordu ve bu durum RBAC kontrollerinin atlatılmasına olanak tanıyabilirdi. virt-api bileşeninin, mTLS üzerinden API istekleri alırken istemcinin kimliğini doğru şekilde doğrulamadığı tespit edilmiştir. Özellikle, alınan istemci TLS sertifikalarındaki CN (Common Name) alanını, extension-apiserver-authentication configmap dosyasında tanımlanan izin verilen değerler kümesine karşı doğrulamaz. İstemci TLS sertifikasındaki belirli alanların doğrulanmaması, bir saldırganın Kubernetes API sunucusunu ve onun toplayıcı bileşenini taklit ederek toplanmış API sunucusuyla doğrudan iletişim kurması yoluyla mevcut RBAC kontrollerini atlatmasına olanak tanıyabilir. Bu sorun 1.5.3 ve 1.6.1 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- kubevirt kubevirt1.5.3 ya da sonraki bir sürüm
- kubevirt.io/kubevirt1.5.3, 1.6.1, 1.7.0-rc.0, 1.6.0-beta.0.0.20250730135146-231dc69723f3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kubevirt kubevirt | v < 1.5.3, 1.6.0 | 1.5.3 |
| kubevirt.io/kubevirtGo | v < 1.5.3, 1.6.0-alpha.0 ≤ v < 1.6.1, 1.7.0-alpha.0 ≤ v < 1.7.0-rc.0, 1.6.0-alpha.0 ≤ v < 1.6.0-beta.0.0.20250730135146-231dc69723f3, 1.6.0-rc.0 ≤ v < 1.6.1, 1.6.2 ≤ v < 1.7.0-rc.0 | 1.5.3, 1.6.1, 1.7.0-rc.0, 1.6.0-beta.0.0.20250730135146-231dc69723f3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.