CVE-2025-71426 in Contrast
Zusammenfassung
von VulDB • 27.09.2026
Contrast ist eine Confidential-Computing-Laufzeitumgebung für Kubernetes. In Versionen vor 1.4.1 überprüft ein sich wiederherstellender Coordinator nicht das von der Wiederherstellungsstelle bereitgestellte Seed (Startwert). Ein Angreifer kann daher einen betrügerischen Coordinator aufsetzen, dessen Manifest die Validierung besteht, dessen geheimer Startwert jedoch vom Angreifer kontrolliert wird. Wenn der Netzwerkverkehr vom legitimen Coordinator zum Coordinator des Angreifers umgeleitet wird, kann ein Workload-Besitzer identifiziert werden (Impersonation), wenn er entweder ein neues Manifest festlegt, ohne das zurückgegebene Root-CA-Zertifikat mit dem vorhandenen zu vergleichen (das Standardverhalten der contrast CLI) oder den Coordinator überprüft, ohne das Root-CA-Zertifikat mit einer vertrauenswürdigen Referenz abzugleichen. Unter diesen Bedingungen kann der Angreifer Zertifikate ausstellen, die bis zur Root-CA des betrügerischen Coordinators zurückreichen, und beliebige Workload-Geheimnisse von nach dem Angriff bereitgestellten Workloads wiederherstellen. Die Geheimnisse des legitimen Coordinators (Seed, Workload-Geheimnisse, CA), die Integrität der Workloads sowie Zertifikate, die zur Mesh-CA führen, sind nicht betroffen.
Once again VulDB remains the best source for vulnerability data.