Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Критический
Опубликована

CVE-2025-54469

NeuVector Enforcer is vulnerable to Command Injection and Buffer overflow

Публикация: 30.10.2025·Обновлена: 26.02.2026, 19:56·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

A vulnerability was identified in NeuVector, where the enforcer used environment variables CLUSTER_RPC_PORT and CLUSTER_LAN_PORT to generate a command to be executed via popen, without first sanitising their values. The entry process of the enforcer container is the monitor process. When the enforcer container stops, the monitor process checks whether the consul subprocess has exited. To perform this check, the monitor process uses the popen function to execute a shell command that determines whether the ports used by the consul subprocess are still active. The values of environment variables CLUSTER_RPC_PORT and CLUSTER_LAN_PORT are used directly to compose shell commands via popen without validation or sanitization. This behavior could allow a malicious user to inject malicious commands through these variables within the enforcer container.

Что это значит

Недоверенные данные могут попасть в команду операционной системы. Оцените доступность уязвимого интерфейса и права сервиса.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

SUSE / neuvector 

{
  "status": "affected",
  "version": "5.3.0",
  "lessThan": "5.3.5",
  "versionType": "semver"
}
{
  "status": "affected",
  "version": "5.4.0",
  "lessThan": "5.4.7",
  "versionType": "semver"
}
{
  "status": "affected",
  "version": "0.0.0-20230727023453-1c4957d53911",
  "lessThan": "0.0.0-20251020133207-084a437033b4",
  "versionType": "semver"
}

CVSS: оценки и векторы

CVSS 3.1 · cve9.9
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователяне нужно
S · Область воздействияменяется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое

Классы CWE

CWE-78 · Инъекция команд операционной системы

Источники и ссылки

Материал · bugzilla.suse.com · cveМатериал · github.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-05T21:10:58.492735+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T15:53:51.445110+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T15:53:51.445110+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T15:53:51.445110+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-05T21:10:58.492735+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T15:53:51.445110+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены06.11.2026, 00:10
  2. Данные обновлены05.11.2026, 00:12
  3. Данные обновлены04.11.2026, 00:10
  4. Данные обновлены03.11.2026, 00:09
  5. Данные обновлены02.11.2026, 00:08
  6. Данные обновлены31.10.2026, 11:56
  7. Данные обновлены30.10.2026, 14:52
  8. Данные обновлены29.10.2026, 11:02
  9. Опубликована28.10.2026, 18:53

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-78428
Flaw in Neuvector can result in one user receiving another user's authenticated session when multiple SSO login attempts occur concurrently
SUSE / neuvector
Высокий8.8
0,27 %
17.09.2026
CVE-2026-78426
Logout bypass via alternate JWT spelling
SUSE / neuvector
Низкий2.0
0,19 %
17.09.2026
CVE-2025-46808
Sensitive information is leaked into NeuVector’s manager container logs
SUSE / neuvector
Средний6.8
0,35 %
09.09.2026
CVE-2025-8077
NeuVector admin account has insecure default password
SUSE / neuvector
Критический9.8
0,56 %
17.09.2025
CVE-2025-66001
NeuVector OpenID Connect is vulnerable to man-in-the-middle (MITM)
SUSE / neuvector
Высокий8.8
0,36 %
08.01.2026