CVE-2025-64432 in kubevirt
Résumé
par VulDB • 03/07/2026
KubeVirt est un module complémentaire de gestion des machines virtuelles pour Kubernetes. Les versions 1.5.3 et inférieures, ainsi que la version 1.6.0, présentaient une implémentation défectueuse du flux d'authentification de la couche d'agrégation de Kubernetes, ce qui pouvait permettre un contournement des contrôles RBAC (Contrôle d'accès basé sur les rôles). Il a été découvert que le composant virt-api ne parvenait pas à authentifier correctement le client lors de la réception de requêtes API via mTLS. Plus précisément, il ne validait pas le champ CN (Common Name) dans les certificats TLS clients reçus par rapport à l'ensemble des valeurs autorisées définies dans la configmap extension-apiserver-authentication. L'échec de la validation de certains champs du certificat TLS client pourrait permettre à un attaquant de contourner les contrôles RBAC existants en communiquant directement avec le serveur d'API agrégé, en se faisant passer pour le serveur API Kubernetes et son composant agrégateur. Ce problème est corrigé dans les versions 1.5.3 (mise à jour) et 1.6.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.