🔴 CVE-2026-7374: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-7374 ist eine kritische Sicherheitslücke in der virt-handler Komponente von KubeVirt mit einem CVSS-Wert von 9.9. Die Anfälligkeit betrifft die Validierung von Symlinks beim Zugriff auf VM-Konsolen-Sockets und ermöglicht authentifizierten Benutzern mit Edit-Berechtigungen in einem Namespace, privilegierte Verbindungen zu kapern und potenzielle Kontrolle über den gesamten Cluster zu erlangen.

Betroffene Systeme

Die Vulnerabilität betrifft KubeVirt-Installationen in OpenShift-Umgebungen. Besonders gefährdet sind Cluster mit mehreren Namespaces und granularer Benutzerverwaltung, da die Anfälligkeit durch authentifizierte Benutzer mit Edit-Berechtigungen auf Namespace-Ebene ausgenutzt werden kann.

Technische Details

Das Sicherheitsproblem liegt in einer unzureichenden Symlink-Validierung in der virt-handler Komponente. Angreifer können die VM-Konsolen-Socket durch einen Symlink ersetzen, der auf den Host-Container-Runtime-Socket (CRI-O) verweist. Dies ermöglicht es virt-handler, die Symlink-Verbindung zu folgen und die privilegierte Verbindung zum CRI-O-Socket herzustellen.

Da virt-handler mit erhöhten Berechtigungen läuft, kann ein Angreifer über diese gekapperte Verbindung auf beliebige Unix-Sockets auf dem Host zugreifen. Dies führt zu potenzieller Remote Code Execution und vollständiger Cluster-Kompromittierung.

Empfohlene Massnahmen

• Implementieren Sie strikte Zugriffskontrolle und reduzieren Sie Edit-Berechtigungen in Namespaces auf notwendige Benutzer
• Überwachen Sie Symlink-Operationen auf VM-Console-Sockets aktiv
• Isolieren Sie virt-handler mit Least-Privilege-Prinzipien
• Führen Sie regelmäßige Sicherheitsaudits durch und verwenden Sie Pod Security Policies
• Überprüfen Sie KubeVirt-Versionen und warten Sie auf verfügbare Patches

Bewertung

Mit einem CVSS-Wert von 9.9 wird diese Sicherheitslücke als kritisch eingestuft. Die Kombination aus niedriger Privilege-Anforderung und hohem Impact-Potenzial macht sie zu einer unmittelbaren Bedrohung für Produktivumgebungen. Eine schnelle Risikobewertung und Reaktion sind erforderlich.

„`