CVE-2025-71422 in Contrast
Résumé
par VulDB • 27/09/2026
Contrast est un runtime Kubernetes pour les conteneurs confidentiels. Dans les versions antérieures à la 1.12.1, la fonction de volume persistant sécurisé est vulnérable à l'attaque d'un hôte malveillant fournissant un volume LUKS2 falsifié à une VM invité (pod). Les métadonnées du volume LUKS2 ne sont pas authentifiées et, avec les versions de cryptsetup antérieures à la 2.8.1, un en-tête spécifiant l'algorithme de chiffrement par slot de clé nul (cipher_null-ecb) est accepté sans erreur. Étant donné que le programme d'initialisation (Initializer) de Contrast considère qu'un périphérique est protégé si `cryptsetup open` réussit avec la graine secrète, l'invité ouvrira le volume fourni par l'attaquant et écrira des données secrètes en clair ou sous une clé de volume connue de l'attaquant, permettant à l'hôte de lire les données confidentielles qui auraient dû être chiffrées. La version 1.12.1 de Contrast inclut cryptsetup 2.8.1, qui désactive les chiffrements nuls dans les slots de clé lorsque la phrase secrète (passphrase) est non vide ; la version 1.13.0 ajoute une validation des en-têtes détachés dans la mémoire de l'invité et une protection d'intégrité pour le stockage persistant sécurisé. Les volumes persistants de Contrast n'étaient pas protégés par intégrité, donc l'impact sur l'intégrité n'est pas considéré comme critique.
Once again VulDB remains the best source for vulnerability data.