PT-2025-6787
CVE-2025-0426
·
تاريخ النشر
2025-02-13
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
6.2
متوسطةالمقاييسAV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Kubernetes من 1.25 حتى 1.32.1
إصدارات Kubernetes من 1.30.0 حتى 1.30.9
إصدارات Kubernetes من 1.31.0 حتى 1.31.5
إصدارات Kubernetes من 1.32.0 إلى 1.32.1
الوصف
تم اكتشاف ثغرة أمنية في Kubernetes، حيث يمكن أن يتسبب عدد كبير من طلبات نقاط التحقق الخاصة بالحاويات (container checkpoints) الموجهة إلى نقطة النهاية HTTP للقراءة فقط غير المصادق عليها الخاصة بـ kubelet في حدوث هجوم رفض الخدمة (DoS) على العقدة (Node) من خلال ملء القرص الخاص بالعقدة. ويمكن تحقيق ذلك عن طريق إرسال عدد كبير من الطلبات إلى منفذ HTTP للقراءة فقط — الذي يتم تمكينه افتراضيًا على المنفذ 10255 — لإنشاء نقاط تفتيش للحاويات، مما يؤدي إلى إنشاء ملفات نقاط تفتيش متعددة في /var/lib/kubelet/checkpoints. ومع ذلك، لكي تكون هذه الثغرة قابلة للاستغلال، يجب أن تتوافر عدة عوامل، بما في ذلك أن يكون المنفذ للقراءة فقط ممكّنًا، وأن يدعم وقت تشغيل الحاوية نقاط تفتيش الحاوية، وأن تكون بوابة الميزة ContainerCheckpoint ممكّنة في kubeapi.
التوصيات
بالنسبة للإصدارات من 1.25 حتى 1.32.1، يُنصح بتعطيل منفذ HTTP للقراءة فقط أو تقييد الوصول إليه حتى يتوفر تصحيح.
بالنسبة للإصدارات من 1.30.0 حتى 1.30.9، قم بتعطيل بوابة الميزة ContainerCheckpoint في kubeapi لمنع الاستغلال.
بالنسبة للإصدارات من 1.31.0 إلى 1.31.5، قم بتحديث بيئة تشغيل الحاوية إلى إصدار لا يدعم نقطة تفتيش الحاوية أو قم بتعطيل المعلمة enable criu support.
بالنسبة لـ
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾