CVE-2025-64432 in kubevirt
Riassunto
di VulDB • 03/07/2026
KubeVirt è un componente aggiuntivo per la gestione delle macchine virtuali su Kubernetes. Le versioni 1.5.3 e precedenti, nonché la versione 1.6.0, presentavano un'implementazione difettosa del flusso di autenticazione dello strato di aggregazione di Kubernetes che poteva consentire l'elusione dei controlli RBAC (Role-Based Access Control). È stato scoperto che il componente virt-api non autentica correttamente il client quando riceve richieste API tramite mTLS. In particolare, non convalida il campo CN (Common Name) nei certificati TLS del client ricevuti rispetto all'insieme di valori consentiti definiti nel configmap extension-apiserver-authentication. La mancata convalida di determinati campi nel certificato TLS del client potrebbe consentire a un attaccante di eludere i controlli RBAC esistenti comunicando direttamente con il server API aggregato, impersonando il server API Kubernetes e il suo componente aggregator. Questo problema è stato risolto nelle versioni 1.5.3 (con patch) e 1.6.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.