CVE-2026-13201

Beschreibung

Ein Fehler wurde in KubeVirts Safepath-Paket gefunden, das von virt-handler verwendet wurde. Die OpenAtNoFollow-Funktion verwendet O PATH|O NOFOLLOW, um einen Dateideskriptor für ein Pfadblatt zu erhalten, aber nachgelagerte Operationen lösen den Pfad über /proc/self/fd/N mithilfe von Link-folgenden Syscalls auf. Wenn das Blatt ein Symlink ist, schaltet der Kernel es aus und besiegt den beabsichtigten No-Follow-Schutz. Ein Angreifer mit Zugriff auf einen Virt-Launcher-Pod kann dies ausnutzen, um die IPC-Sockelverbindungen des Virt-Handlers umzuleiten, einschließlich des Benachrichtigungssockets, das für VM-Domain-Lifecycle-Ereignisse verwendet wird. Durch die Entführung dieses Sockets kann der Angreifer willkürliche Domain-Ereignisse in den Virt-Handler injizieren, wodurch er falsche Lifecycle-Aktionen durchführt, den VM-Zustand in der Kubernetes-API beschädigt oder abstürzt - was zu einer anhaltenden Denial von VM-Verwaltungsdiensten für alle virtuellen Maschinen auf dem betroffenen Knoten führt. Darüber hinaus ermöglicht der gleiche symlink-folgefehler dem virt-handler, dateibesitz- oder berechtigungsänderungen auf unbeabsichtigte hostpfade anzuwenden.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Mehrere Hersteller kubevirt, openshift virtualization.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.