Высокий

Опубликована

CVE-2026-17527

Virt-cdi-operator: containerized-data-importer: cdi.kubevirt.io:view aggregated clusterrole grants create on datavolumes/source, allowing unauthorized pvc clone

Публикация: 27.07.2026·Обновлена: 03.11.2026, 09:32·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

In containerized-data-importer (CDI), the aggregated cdi.kubevirt.io:view ClusterRole, intended to provide read-only access to CDI resources, includes a rule granting create on the datavolumes/source subresource. CDI's DataVolume clone authorization accepts this permission as sufficient to authorize cloning the contents of any PVC the caller can name, without requiring write access to the source namespace. A user or service account bound to the view role, commonly granted cluster-wide via ClusterRoleBinding, who also has ordinary write access (edit/admin) to any single namespace, can use this to exfiltrate the contents of any PVC in the cluster into a namespace they control, bypassing namespace isolation and the read-only guarantee of the view role.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

Until a fix is available, cluster administrators should avoid granting cdi.kubevirt.io:view (or the built-in Kubernetes view role, which aggregates it) via cluster-wide ClusterRoleBinding. Prefer namespace-scoped RoleBindings, and audit which namespaces grant both view-equivalent access and separate edit/admin access to the same identities, since that combination is what enables cross-namespace data exfiltration.

CVE Record: redhat ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Red Hat / Red Hat Container Native Virtualization 4.14

{
  "status": "unaffected",
  "version": "1788157795",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:container_native_virtualization:4.14::el9

Red Hat / Red Hat Container Native Virtualization 4.16

{
  "status": "unaffected",
  "version": "1787585647",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:container_native_virtualization:4.16::el9

Red Hat / Red Hat Container Native Virtualization 4.17

{
  "status": "unaffected",
  "version": "1793257366",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:container_native_virtualization:4.17::el9

Red Hat / Red Hat Container Native Virtualization 4.18

{
  "status": "unaffected",
  "version": "1787586357",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:container_native_virtualization:4.18::el9

Red Hat / Red Hat Container Native Virtualization 4.19

{
  "status": "unaffected",
  "version": "1787234290",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:container_native_virtualization:4.19::el9

Red Hat / Red Hat Container Native Virtualization 4.20

{
  "status": "unaffected",
  "version": "1787231995",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:container_native_virtualization:4.20::el9

Red Hat / Red Hat Container Native Virtualization 4.21

{
  "status": "unaffected",
  "version": "1787235286",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:container_native_virtualization:4.21::el9

Red Hat / Red Hat Container Native Virtualization 4.22

{
  "status": "unaffected",
  "version": "1787295217",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:container_native_virtualization:4.22::el9

Red Hat / Red Hat OpenShift Virtualization 4

cpe:/a:redhat:container_native_virtualization:4

CVSS: оценки и векторы

CVSS 3.1 · cve7.7

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьнет

A · Доступностьнет

CVSS 3.1 · secalert@redhat.com7.7

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьнет

A · Доступностьнет

CVSS 3.1 · ghsa7.7

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьнет

A · Доступностьнет

Классы CWE

CWE-639 · Обход авторизации через управляемый пользователем идентификатор

Источники и ссылки

Происхождение полей

{
  "cwes": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-02T21:11:37.123914+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-11-03T03:59:45.000032+00:00"
  },
  "scores": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-11-03T03:59:45.000032+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-11-03T03:59:45.000032+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-02T21:11:37.123914+00:00"
  },
  "references": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-11-03T03:59:45.000032+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": []
}

Хронология записи

Данные обновлены03.11.2026, 09:38
Данные обновлены03.11.2026, 07:40
Данные обновлены03.11.2026, 06:59
Данные обновлены03.11.2026, 00:11
Данные обновлены02.11.2026, 00:10
Данные обновлены31.10.2026, 11:57
Данные обновлены30.10.2026, 18:16
Данные обновлены29.10.2026, 11:36
Опубликована28.10.2026, 20:46

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-13201 Kubevirt: virt-handler-rhel9: kubevirt: safepath symlink following in virt-handler enables notify socket hijacking and node-level vm disruption Red Hat / Red Hat Container Native Virtualization 4.12 · Red Hat / Red Hat Container Native Virtualization 4.13	Высокий	7.3	0,31 %		24.06.2026
CVE-2026-13622 Kubevirt: virt-handler-rhel9: kubevirt: virt-handler migration proxy follows symlinks allowing container escape to host Red Hat / Red Hat Container Native Virtualization 4.12 · Red Hat / Red Hat Container Native Virtualization 4.13	Высокий	8.8	0,2 %		12.08.2026
CVE-2026-44495 Axios: Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge axios / axios · Red Hat / Red Hat AMQ Broker 7.13.6	Критический	7.0	0,85 %	PoC	11.06.2026
CVE-2026-44494 Axios: Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy` axios / axios · Red Hat / Red Hat AMQ Broker 7.13.6	Критический	8.7	1,06 %	PoC	11.06.2026
CVE-2026-44492 Axios: shouldBypassProxy does not recognize IPv4-mapped IPv6 addresses, allowing NO_PROXY bypass (incomplete fix for CVE-2025-62718) axios / axios · Red Hat / Red Hat AMQ Broker 7.13.6	Критический	8.6	12,28 %	PoC	11.06.2026