CVE-2026-13622

KubeVirt'in virt-handler migration proxy bileşeninde bir sembolik bağlantı izleme (symlink following) zafiyeti bulundu. Canlı taşıma sırasında virt-handler, net.Dial() kullanarak ve sembolik bağlantı koruması olmaksızın /proc/<pid>/root/ yolları üzerinden hedef virt-launcher pod'u içindeki Unix soketlerine bağlanmaktadır. Bu soket yolları, virt-launcher kullanıcısı tarafından yazılabilir olan qemu sahipli dizinlerde yer almaktadır. Namespace düzenleme ve pods/exec izinlerine sahip bir saldırgan, bir migration proxy soketini ana makine CRI-O soketine yönlendiren bir sembolik bağlantıyla değiştirebilir. virt-handler, ana makine mount namespace'inde root olarak çalıştığı için mutlak sembolik bağlantı hedefleri ana makine dosya sistemine göre çözümlenir ve çift yönlü io.Copy proxy'si, saldırgan tarafından kontrol edilen baytları konteyner çalışma zamanına ileterek düğümün tamamen ele geçirilmesine olanak tanır.