BDU:2025-02918

Опубликовано: 11 мар. 2025

Источник: fstec

CVSS3: 8.2

CVSS2: 6.6

EPSS Низкий

Описание

Уязвимость компонента Hive программного обеспечения управления кластерами Kubernetes Multicluster Engine (MCE) и Advanced Cluster Management (ACM) связана с незащищённым хранением конфиденциальной информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к учетным данным VCenter путем отправки специально сформированных запросов к прикладному программному интерфейсу Kubernetes

Вендор

Red Hat Inc.

Наименование ПО

multicluster engine for Kubernetes

Red Hat Advanced Cluster Management for Kubernetes 2

Версия ПО

- (multicluster engine for Kubernetes)

- (Red Hat Advanced Cluster Management for Kubernetes 2)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,6)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,2)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- настройка механизма разграничения доступа, например Role-Based Access Control (RBAC), для ограничения доступа к объектам ClusterProvision;

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному обеспечению;

- использование «белого» списка IP-адресов для ограничения доступа к уязвимому программному обеспечению;

- использование SIEM-систем для отслеживания попыток эксплуатации уязвимости;

- использование средств обнаружения и предотвращения вторжений (IDS/IPS) для выявления и реагирования на попытки эксплуатации уязвимости.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-2241
CVE

EPSS

Процентиль: 29%

0.00101

Низкий

8.2 High

CVSS3

6.6 Medium

CVSS2

Связанные уязвимости

CVE-2025-2241

CVSS3: 8.2

redhat

10 месяцев назад

A flaw was found in Hive, a component of Multicluster Engine (MCE) and Advanced Cluster Management (ACM). This vulnerability causes VCenter credentials to be exposed in the ClusterProvision object after provisioning a VSphere cluster. Users with read access to ClusterProvision objects can extract sensitive credentials even if they do not have direct access to Kubernetes Secrets. This issue can lead to unauthorized VCenter access, cluster management, and privilege escalation.

CVE-2025-2241

CVSS3: 8.2

nvd

10 месяцев назад

GHSA-c339-mwfc-fmr2

CVSS3: 8.2

github

10 месяцев назад

Openshift Hive Exposes VCenter Credentials via ClusterProvision

EPSS

Процентиль: 29%

0.00101

Низкий

8.2 High

CVSS3

6.6 Medium

CVSS2