CVE-2026-13208
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W KubeVirt znaleziono lukę w serwerze powiadomień domeny virt-handler. Procedury obsługi gRPC dla HandleDomainEvent i HandleK8SEvent pobierają tożsamość VMI (przestrzeń nazw/nazwa) wyłącznie z treści żądania, bez weryfikacji jej względem źródła połączenia. Każdy proces virt-launcher łączy się przez gniazdo potoku per-VMI, ale żaden znacznik tożsamości nie jest propagowany ze ścieżki potoku do procedur obsługi serwera.
Ocena ryzyka
Skompromitowany proces virt-launcher może wysyłać sfałszowane zdarzenia cyklu życia domeny dla dowolnej innej VMI zaplanowanej na tym samym węźle, powodując błędną aktualizację stanu tej VMI przez virt-handler i zakłócenie zarządzania jej cyklem życia.
Rekomendacja
Należy niezwłocznie zaktualizować KubeVirt do wersji zawierającej poprawkę usuwającą tę lukę. Do czasu aktualizacji zaleca się ograniczenie zaufania do procesów virt-launcher oraz monitorowanie nietypowych zdarzeń domeny.
Inne podatności w KubeVirt
Zobacz wszystkie- CVE-2026-7374Krytyczne
W KubeVirt w komponencie virt-handler stwierdzono podatność polegającą na nieprawidłowej walidacji dowiązań symbolicznych podczas łączenia z konsolami maszyn wirtualnych. Uwierzytelniony użytkownik OpenShift z uprawnieniami edycji w pojedynczej przestrzeni nazw może zastąpić gniazdo konsoli dowiązaniem symbolicznym do gniazda CRI-O hosta, przejmując uprzywilejowane połączenie virt-handlera.
- CVE-2026-13622Wysokie
Podatność polegająca na podążaniu za dowiązaniami symbolicznymi w KubeVirt's virt-handler migration proxy. Podczas migracji na żywo, virt-handler łączy się z gniazdami Unix wewnątrz docelowego poda virt-launcher przez ścieżki /proc/<pid>/root/ bez ochrony przed dowiązaniami symbolicznymi. Atakujący z uprawnieniami do edycji przestrzeni nazw i wykonywania poleceń w podach może podmienić gniazdo proxy migracji na dowiązanie symboliczne do gniazda CRI-O na hoście, co umożliwia pełne przejęcie węzła.
- CVE-2026-13434Średnie
W KubeVirt znaleziono podatność w generatorze adnotacji sieciowych. Brak walidacji wartości networkName pozwala tenantowi z uprawnieniami kubevirt.io:edit na wstrzyknięcie kodu JSON do adnotacji v1.multus-cni.io/default-network. Gdy włączona jest funkcja ExternalNetResourceInjection (domyślnie wyłączona), Multus może podłączyć pod do dowolnej sieci w dowolnej przestrzeni nazw.
- CVE-2026-13322Niskie
W KubeVirt znaleziono podatność w serwerze downward metrics virtio-serial. Serwer odczytuje żądania gościa za pomocą textproto.Reader.ReadLine(), który buforuje dane wejściowe bez ograniczenia długości lub limitu czasu, dopóki nie otrzyma znaku nowej linii. Użytkownik mający dostęp do maszyny wirtualnej z skonfigurowanym urządzeniem downward metrics virtio-serial może wysłać ciągły strumień bajtów, powodując nieograniczoną alokację pamięci w procesie virt-handler, aż do jego zabicia przez OOM.
- CVE-2026-13318Średnie
W KubeVirt znaleziono podatność SSRF w handlerze port-forward virt-api. Podczas przetwarzania żądania port-forward do instancji VMI, virt-api odczytuje docelowy adres IP z vmi.Status.Interfaces[0].IP i przekazuje go bezpośrednio do net.Dial() bez walidacji. Dla VMI używających nie-maskujących wiązań sieciowych (bridge lub secondary-only), ten adres IP jest raportowany przez agenta QEMU działającego wewnątrz VM i jest w pełni kontrolowany przez właściciela VM.
- CVE-2026-13218Średnie
W KubeVirt znaleziono lukę w obsłudze pamięci podręcznej sieci przez virt-handler. Funkcja WriteToCachedFile zapisuje dane do ścieżki w katalogu launcher bez ochrony przed dowiązaniami symbolicznymi, co pozwala użytkownikowi z dostępem do kontenera virt-launcher na nadpisanie dowolnego pliku hosta treścią JSON i zmianę jego właściciela.
- CVE-2026-13201Wysokie
W pakiecie safepath projektu KubeVirt, używanym przez komponent virt-handler, wykryto lukę w funkcji OpenAtNoFollow. Funkcja ta używa flag O_PATH|O_NOFOLLOW do uzyskania deskryptora pliku, ale późniejsze operacje rozwijają ścieżkę przez /proc/self/fd/N z użyciem wywołań systemowych podążających za dowiązaniami symbolicznymi. Gdy liść ścieżki jest dowiązaniem symbolicznym, jądro je dereferencjonuje, omijając zamierzoną ochronę przed podążaniem za dowiązaniami.
- CVE-2026-9804Wysokie
W KubeVirt w komponencie virt-exportserver wykryto podatność na path traversal. Atakujący z dostępem do przestrzeni nazw może umieścić dowiązanie symboliczne w eksportowanym PVC, wskazujące poza katalog główny montowania, co umożliwia odczyt dowolnych plików z systemu plików poda eksportera.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in KubeVirt's virt-handler domain notify server. The gRPC handlers for HandleDomainEvent and HandleK8SEvent derive the VMI identity (namespace/name) solely from the request body without validating it against the connection's origin. Each virt-launcher pod connects through a per-VMI pipe socket, but no identity tag is propagated from the pipe path to the server handlers. This allows a compromised virt-launcher process to send forged domain lifecycle events for any other VMI scheduled on the same node, causing virt-handler to erroneously update that VMI's state and disrupt its lifecycle management.