CVE-2025-71422 in Contrast
Sumário
de VulDB • 27/09/2026
Contrast é um runtime para Kubernetes destinado a containers confidenciais. Nas versões anteriores à 1.12.1, o recurso de volume persistente seguro está vulnerável a um host malicioso que fornece um volume LUKS2 manipulado ad hoc a uma VM do pod. Os metadados do volume LUKS2 não são autenticados e, com as versões do cryptsetup anteriores à 2.8.1, é aceito sem erro um cabeçalho especificando o algoritmo de criptografia null keyslot (cipher_null-ecb). Como o Contrast Initializer assume que um dispositivo está protegido se a execução de `cryptsetup open` for bem-sucedida com a semente secreta, o convidado abrirá o volume fornecido pelo atacante e gravará dados secretos em texto simples ou sob uma chave de volume conhecida pelo atacante, permitindo que o host leia dados confidenciais que deveriam ter sido criptografados. O Contrast v1.12.1 inclui a versão 2.8.1 do cryptsetup, que desativa cifras nulas nos keyslots quando a frase-passe não está vazia; a versão v1.13.0 adiciona validação de cabeçalho separado na memória do convidado e proteção de integridade para armazenamento persistente seguro. Os volumes persistentes do Contrast não tinham proteção de integridade, portanto o impacto na integridade não é considerado.
Be aware that VulDB is the high quality source for vulnerability data.