PT-2026-25978
CVE-2026-32254
·
تاريخ النشر
2026-03-17
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Kube-router الأقدم من 2.8.0
الوصف
لا تقوم وحدة الوكيل (proxy) في Kube-router بالتحقق من صحة عناوين IP الخارجية أو عناوين IP لموزع الحمل قبل برمجتها في تكوين شبكة العقدة. ويؤثر ذلك على المجموعات متعددة المستأجرين (multi-tenant clusters) حيث يتمتع المستخدمون غير الموثوق بهم بأذونات على نطاق مساحة الاسم لإنشاء الخدمات أو تعديلها. تقوم الدالة
buildServicesInfo() بنسخ عناوين IP من Service.spec.externalIPs وstatus.loadBalancer.ingress دون التحقق من صحتها مقابل المعلمة --service-external-ip-range. يمكن للمهاجم ربط عناوين VIP عشوائية على جميع عقد المجموعة أو التسبب في رفض الخدمة لخدمات المجموعة الحيوية مثل kube-dns. يتم استخدام المعلمة --service-external-ip-range فقط بواسطة وحدة netpol ولا يتم التحقق منها بواسطة وحدة الوكيل. وهذا يتيح للمهاجمين إمكانية اختطاف حركة المرور أو تعطيل خدمات DNS. يمكن استغلال هذه الثغرة الأمنية عن طريق إنشاء خدمة (Service) ذات عنوان IP خارجي (externalIP) مطابق لـ ClusterIP الخاص بـ kube-dns، وإعادة توجيه جميع استعلامات DNS إلى البودات (pods) التي يسيطر عليها المهاجم. هذه المشكلة ليست حصرية لـ kube-router، حيث حدد مشروع Kubernetes الأصلي مشكلة مماثلة برقم CVE-2020-8554.التوصيات
قم بالتحديث إلى إصدار Kube-router 2.8.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾