CVE-2025-67499
Açıklama
CNI portmap eklentisi, konteynerlerin bir ana makine portunu açmasını taklit etmesine ve bu trafiği konteynere yönlendirmesine olanak tanır. 1.6.0 ile 1.8.0 arasındaki sürümlerde, portmap eklentisi nftables arka ucuyla yapılandırıldığında, hedef IP'yi görmezden gelerek ana makine portuyla aynı hedef porta sahip tüm trafik yanlışlıkla yönlendirilir. Bu durum, düğümün kendisi için amaçlanmamış trafiği, yani düğümde barındırılan diğer konteynerlere giden trafiği de kapsar. HostPort yönlendirme talebinde bulunan konteynerler, söz konusu porta giden tüm trafiği yakalayabilir. Bunun gerçekleşmesi için portmap eklentisinin açıkça nftables arka ucunu kullanacak şekilde yapılandırılmış olması gerekir. Bu sorun 1.9.0 sürümünde düzeltilmiştir. Geçici çözüm olarak, portmap eklentisini iptables arka ucunu kullanacak şekilde yapılandırın; bu arka uçta söz konusu güvenlik açlığı bulunmamaktadır.
Nasıl düzeltilir
- linuxfoundation cni_network_plugins1.9.0 ya da sonraki bir sürüm
- github.com/containernetworking/plugins1.9.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation cni_network_plugins | 1.6.0 ≤ v < 1.9.0 | 1.9.0 |
| github.com/containernetworking/pluginsGo | 1.6.0 ≤ v < 1.9.0 | 1.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.