„`html
Zusammenfassung
CVE-2026-13325 ist eine kritische Sicherheitslücke in KubeVirts Migration Proxy mit dem Schweregrad „High“ (CVSS 8.5). Die Schwachstelle ermöglicht es Angreifern mit Netzwerkzugriff auf das Cluster-Netzwerk, unauthentifizierte libvirt RPC-Befehle gegen virtuelle Maschinen anderer Mandanten auszuführen, wenn TLS für VM-Migrationen deaktiviert ist.
Betroffene Systeme
Die Schwachstelle betrifft KubeVirt-Installationen, bei denen die Konfiguration spec.configuration.migrations.disableTLS auf true gesetzt ist. Die virt-handler Komponente ist direkt betroffen, ebenso alle virtuellen Maschinen, die von einem anfälligen Cluster gemanagt werden.
Technische Details
Wenn TLS-Migration deaktiviert wird, bindet der Target virt-handler einen ungeschützten TCP-Listener auf 0.0.0.0::/ an einem zufälligen Port. Dieser Listener:
- Besitzt keine Authentifizierungsmechanismen
- Implementiert keine Peer-Allow-Listen
- Verwendet keine Handshake-Token
- Proxiert direkt zu virtqemud Control Sockets der Ziel-VMs
Angreifer mit Zugriff auf ein beliebiges Pod im Cluster-Netzwerk können sich verbinden und ungefilierte libvirt RPC-Befehle ausführen. Dies ermöglicht: VM-Memory-Dumps, Konfigurationsauslesung, Zustandsmodifikation via QMP oder VM-Zerstörung.
Kritisch: Das Binding erfolgt immer auf 0.0.0.0. Eine konfigurierte dedizierte Migrations-Netzwerk ändert nur die beworbene IP, nicht die Listener-Bindung. Der Port bleibt im Pod-Netzwerk erreichbar.
Empfohlene Massnahmen
- TLS für VM-Migrationen aktivieren (Standard)
- Netzwerk-Segmentierung implementieren
- Pod-zu-Pod Netzwerkzugriff beschränken
- Network Policies für Migrations-Verkehr konfigurieren
- Regelmäßige Sicherheitsaudits durchführen
Bewertung
Schweregrad: High (CVSS 8.5) | Angriffsvektor: Network | Status: Patch ausstehend
Diese Schwachstelle erfordert sofortige Aufmerksamkeit, da sie kritische Infrastruktur-Komponenten gefährdet und Mandanten-Isolation durchbricht.
„`