BDU:2019-01355

Опубликовано: 14 фев. 2019

Источник: fstec

CVSS3: 6.8

CVSS2: 4.9

EPSS Низкий

Описание

Уязвимость службы импорта данных virt-cdi-importer средства виртуализации Kubevirt связана с неправильным подтверждением подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить атаку типа «человек посередине»

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Kubevirt

Версия ПО

от 1.4.0 до 1.5.3 включительно (Kubevirt)

Тип ПО

ПО виртуализации/ПО виртуального программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,9)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/kubevirt/containerized-data-importer/issues/678

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-3841
CVE

EPSS

Процентиль: 31%

0.00116

Низкий

6.8 Medium

CVSS3

4.9 Medium

CVSS2

Связанные уязвимости

CVE-2019-3841

CVSS3: 7.4

redhat

почти 7 лет назад

Kubevirt/virt-cdi-importer, versions 1.4.0 to 1.5.3 inclusive, were reported to disable TLS certificate validation when importing data into PVCs from container registries. This could enable man-in-the-middle attacks between a container registry and the virt-cdi-component, leading to possible undetected tampering of trusted container image content.