PT-2025-23762 · Kro · Kro

Roi Nisimi · Publicado 2025-06-04 · Atualizado 2025-07-03 · CVE-2025-48710

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.1

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas kro (Kube Resource Orchestrator) versões 0.1.0 até 0.2.1

Descrição A falha permite que usuários com permissão para criar ou modificar recursos ResourceGraphDefinition forneçam imagens de contêiner arbitrárias. Isso pode levar a um cenário de "confused deputy", onde os controladores do kro implantam e executam imagens controladas pelo atacante, resultando em execução remota de código sem autenticação nos nós do cluster.

Recomendações Para as versões 0.1.0 até 0.2.1, atualize para a versão 0.2.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso para criar ou modificar recursos ResourceGraphDefinition para minimizar o risco de exploração.

Correção

RCE

Enumeração de Fraquezas

CWE-441

Identificadores relacionados

CVE-2025-48710

GHSA-7633-X85H-5MQH

GO-2025-3741

OPENSUSE-SU-2025:15225-1

Produtos afetados

Kro

Referências · 41

• https://github.com/kro-run/kro · Nota
• https://github.com/kro-run/kro/compare/v0.2.1...v0.2.2 · Nota
• https://suse.com/security/cve/CVE-2025-2571 · Nota
• https://suse.com/security/cve/CVE-2025-22874 · Nota
• https://suse.com/security/cve/CVE-2025-1792 · Nota
• https://suse.com/security/cve/CVE-2025-3611 · Nota
• https://osv.dev/vulnerability/GO-2025-3741 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-48710 · Nota de Segurança
• https://t.me/cvenotify/124563 · Publicação no Telegram
• https://suse.com/security/cve/CVE-2025-3230 · Nota
• https://orca.security/resources/blog/kubernetes-crd-abstraction-risks-kro · Nota
• https://suse.com/security/cve/CVE-2025-3260 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2025:15225-1 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-4128 · Nota
• https://suse.com/security/cve/CVE-2025-3913 · Nota