PT-2025-43269
CVE-2025-54470
·
تاريخ النشر
2025-10-21
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 3.1
8.6
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات NeuVector الأقدم من 5.4.7
الوصف
تتأثر عمليات نشر NeuVector عندما يكون الخيار
Report anonymous cluster data ممكّنًا. بدون التحقق من شهادة TLS، تكون قناة الاتصال بخادم القياس عن بُعد على https://upgrades.neuvector-upgrade-responder.livestock.rancher.io عرضة لهجمات «الرجل في الوسط» (MITM)، مما يتيح للمهاجم إمكانية اعتراض البيانات أو تعديلها. بالإضافة إلى ذلك، يقوم NeuVector بتحميل استجابة خادم القياس عن بُعد في الذاكرة دون أي قيود على الحجم، مما يخلق ناقلًا محتملاً لهجوم «رفض الخدمة» (DoS). لا يتم التحقق من «سلسلة شهادات TLS» و«اسم المضيف» لخادم القياس عن بُعد أثناء عملية المصافحة.التوصيات
يجب تحديث الإصدارات الأقدم من 5.4.7 إلى الإصدار 5.4.7 أو أحدث.
كحل مؤقت، قم بتعطيل الخيار «Report anonymous cluster data» في واجهة المستخدم (UI) لـ NeuVector في Settings -> Configuration -> Report anonymous cluster data.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾