CVE-2026-75625
KrytyczneCVSS 9.0Streszczenie
Agenci Kraken nie weryfikują pobranych peer-to-peer blobów względem żądanego skrótu SHA-256 przed zapisaniem do pamięci podręcznej, polegając tylko na sumach kontrolnych CRC32. Atakujący mogą podmienić zawartość, zatruwając pamięć podręczną złośliwymi warstwami obrazów kontenerów lub manifestami, które są następnie wykonywane przez inne hosty.
Ocena ryzyka
Zatrucie pamięci podręcznej może prowadzić do wykonania złośliwego kodu w środowiskach kontenerowych, co może naruszyć integralność i bezpieczeństwo całego klastra.
Rekomendacja
Zaktualizuj agentów Kraken do wersji z poprawką, która weryfikuje SHA-256, oraz rozważ dodatkowe mechanizmy uwierzytelniania peerów.
Oryginalny opis (angielski, źródło NVD)
Kraken agents fail to verify peer-to-peer downloaded blobs against their requested SHA-256 digest before committing to the content-addressable cache, relying only on CRC32 checksums for piece validation. Attackers on the agent-to-agent path or malicious peers can supply substituted content with forged CRC32 corrections that passes per-piece checks, poisoning the cache with attacker-chosen container image layers or manifests that are re-seeded and executed by other hosts.