CVE-2025-7195 in Operator-SDKالمعلومات

الملخص

بحسب VulDB • 17/07/2026

توفر الإصدارات المبكرة من Operator-SDK طريقة غير آمنة للسماح لتشغيل حاويات المشغل (operator containers) في البيئات التي تستخدم معرف مستخدم عشوائي (UID). قدمت نسخة Operator-SDK قبل الإصدار 0.15.2 سكريبتاً باسم `user_setup`، يقوم بتعديل صلاحيات ملف `/etc/passwd` إلى 664 أثناء عملية البناء. قد لا يزال المطورون الذين استخدموا Operator-SDK قبل الإصدار 0.15.2 لإنشاء هيكل مشغليهم (scaffold their operator) عرضة للتأثر بهذا الثغر إذا كان سكريبت `user_setup` غير الآمن لا يزال يُستخدم لبناء صور الحاويات الجديدة.

في الصور المتأثرة، يتم إنشاء ملف `/etc/passwd` أثناء عملية البناء بصلاحيات قابلة للكتابة من قبل المجموعة (group-writable)، وبملكية مجموعة لجذر النظام (root) بمعرف مجموعة gid=0). قد يتمكن مهاجم قادر على تنفيذ الأوامر داخل حاوية متأثرة، حتى لو كان مستخدماً غير جذري (non-root user)، من استغلال عضويته في مجموعة الجذر لتعديل ملف `/etc/passwd`. وقد يسمح ذلك للمهاجم بإضافة مستخدم جديد بمعرف مستخدم عشوائي أي UID، بما في ذلك الـ UID 0، مما يؤدي إلى الحصول على صلاحيات جذر كاملة داخل الحاوية.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

مسؤول

Redhat

حجز

07/07/2025

إفشاء

07/08/2025

الاعتدال

تمت الموافقة

إدخال

VDB-319183

EPSS

0.00220

KEV

لا

النشاطات

منخفض جدًا

المصادر

Want to know what is going to be exploited?

We predict KEV entries!