Nir Ohfeld

Uma vulnerabilidade crítica (CVE-2025-23266), apelidada de "NVIDIAScape", existe no NVIDIA Container Toolkit e no GPU Operator. Esta vulnerabilidade permite que atacantes escapem de contêineres e potencialmente obtenham acesso root no sistema hospedeiro. A falha deve-se a uma má configuração relacionada ao tratamento de hooks da Open Container Initiative (OCI). A exploração pode ser realizada com um Dockerfile simples de três linhas. Estima-se que aproximadamente 37% dos serviços em nuvem sejam afetados. A exploração bem-sucedida pode levar ao escalonamento de privilégios, divulgação de informações, adulteração de dados e negação de serviço.

Existe uma vulnerabilidade de segurança no ingress-nginx em que as anotações Ingress `mirror-target` e `mirror-host` podem ser exploradas para injetar configurações arbitrárias no nginx. A exploração bem-sucedida pode levar à execução arbitrária de código dentro do contexto do controlador ingress-nginx e à potencial divulgação de Secrets acessíveis ao controlador. Em uma instalação padrão, o controlador possui acesso a todos os Secrets em todo o cluster. O problema origina-se de anotações mirror não sanitizadas.

Um problema de segurança existe onde a anotação Ingress `auth-tls-match-cn` pode ser usada para injetar configurações no nginx. Isso pode permitir que um invasor remoto execute código arbitrário no contexto do controlador ingress-nginx e exponha Secrets acessíveis ao controlador. Em instalações padrão, o controlador normalmente tem acesso a todos os Secrets de todo o cluster.

Um problema de segurança existe no controlador ingress-nginx do Kubernetes devido à validação insuficiente de entrada e separação espacial inadequada. Um invasor não autenticado com acesso à rede de pods pode enviar uma solicitação especialmente preparada para o endpoint do webhook de admissão na porta 8443. Isso permite que o invasor injete configurações maliciosas do NGINX e alcance a execução de código arbitrário (RCE) no contexto do controlador. A exploração bem-sucedida pode levar à divulgação de Secrets do Kubernetes acessíveis ao controlador, que, em instalações padrão, podem incluir todos os Secrets de todo o cluster, potencialmente concedendo ao invasor controle total sobre o cluster Kubernetes.

Foi descoberto um problema de segurança no ingress-nginx onde dados fornecidos pelo atacante são incluídos em um nome de arquivo pelo recurso Admission Controller do ingress-nginx, resultando em atravessamento de diretório dentro do contêiner. Isso poderia resultar em negação de serviço ou, quando combinado com outras vulnerabilidades, divulgação limitada de objetos Secret do cluster. O problema afeta mais de 6.500 clusters e poderia levar à execução remota de código (RCE) não autenticada ou roubo de secrets.

Existe um problema de segurança no ingress-nginx onde a anotação Ingress `auth-url` pode ser explorada para injetar configuração no nginx. A exploração bem-sucedida pode levar à execução arbitrária de código no contexto do controlador ingress-nginx e à potencial divulgação de Secrets acessíveis ao controlador. Em uma instalação padrão, o controlador tem acesso a todos os Secrets dentro do cluster. O problema deve-se à validação de entrada insuficiente.

O problema está relacionado a controles de acesso insuficientes nas extensões do Open Management Infrastructure (OMI) para gerenciamento de máquinas virtuais do Azure, permitindo que um invasor eleve seus privilégios.

O problema está relacionado a uma vulnerabilidade de elevação de privilégios no Open Management Infrastructure (OMI). Está associado a controles de acesso inadequados nas extensões do OMI para gerenciamento de máquinas virtuais do Azure. A exploração dessa vulnerabilidade pode permitir que um invasor eleve seus privilégios.

O problema está relacionado a uma vulnerabilidade de elevação de privilégios no Open Management Infrastructure (OMI), associada a um controle de acesso inadequado. Essa vulnerabilidade pode ser explorada para permitir que um invasor eleve seus privilégios. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível. Não há informações sobre incidentes reais em que esse problema tenha sido explorado.

O problema está relacionado a uma vulnerabilidade de execução remota de código no agente Open Management Infrastructure (OMI), que é instalado por padrão em ambientes Linux no Microsoft Azure. Essa vulnerabilidade, também conhecida como OMIGOD, permite que um invasor execute código arbitrário com privilégios de root. O problema está presente no aplicativo OMI Agent, que é instalado sem o conhecimento do usuário. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado, mas é mencionado que a vulnerabilidade afeta inúmeros clientes do Azure. Não há informações sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.