CVE-2026-13208

Nome do Software Vulnerável e Versões Afetadas KubeVirt (versões afetadas não especificadas)

Descrição Uma falha foi encontrada no servidor de notificação de domínio do virt-handler do KubeVirt. Os manipuladores gRPC HandleDomainEvent() e HandleK8SEvent() derivam a identidade da VMI (namespace/nome) exclusivamente do corpo da requisição, sem validá-la em relação à origem da conexão. Como nenhum marcador de identidade é propagado do socket de pipe por VMI, utilizado por cada pod virt-launcher, para os manipuladores do servidor, um processo virt-launcher comprometido pode enviar eventos de ciclo de vida de domínio forjados para qualquer outra VMI agendada no mesmo nó. Isso faz com que o virt-handler atualize erroneamente o estado dessa VMI e interrompa o gerenciamento de seu ciclo de vida.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.