CVE-2026-13434

Nome do Software Vulnerável e Versões Afetadas KubeVirt versões 1.8.0 e posteriores

Descrição Uma falha foi encontrada no gerador de anotações de rede. Quando um locatário cria uma VirtualMachineInstance com uma configuração de rede Multus, o valor de networkName é gravado literalmente na anotação v1.multus-cni.io/default-network do pod lançador sem validação de formato ou sanitização. Embora strings vazias sejam rejeitadas, o sistema não realiza a validação do formato DNS-1123, detecção de JSON ou rejeição de caracteres especiais. Quando o recurso Beta ExternalNetResourceInjection está habilitado, a busca por Network Attachment Definition (NAD) é ignorada. Isso permite que um locatário com permissões kubevirt.io:edit injete um array NetworkSelectionElement formatado em JSON. Consequentemente, o Multus no nó processa esse JSON e anexa o pod lançador à anexo de rede especificado em qualquer namespace, permitindo acesso de rede entre namespaces e personificação de IP/MAC em segmentos de rede normalmente segregados de cargas de trabalho de locatários.

Recomendações Desabilite o recurso Beta ExternalNetResourceInjection para evitar a ignorância das buscas de NAD. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.