PT-2025-43270 · Neuvector · Neuvector
Publicado
2025-10-21
·
Atualizado
2025-11-07
·
CVE-2025-54471
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do NeuVector anteriores à 5.4.7
Descrição
O NeuVector utilizava uma chave criptográfica embutida (hard-coded) em seu código-fonte. Durante a compilação, essa chave era substituída por uma chave secreta e usada para criptografar configurações sensíveis quando armazenadas. A versão corrigida utiliza o secret do Kubernetes
neuvector-store-secret no namespace neuvector para gerar dinamicamente chaves aleatórias criptograficamente seguras, removendo a dependência de valores de chave estáticos. O controller do NeuVector verifica campos configurados criptografados durante atualizações ou restaurações, descriptografando-os com a chave padrão e recriptografando-os com a nova chave dinâmica. Se o controller não possuir as permissões RBAC necessárias para acessar o novo secret, um log de erro é gerado: Required Kubernetes RBAC for secrets are not found e o controller é encerrado. A chave de criptografia do dispositivo é rotacionada a cada 3 meses.Recomendações
Atualize para a versão 5.4.7 ou posterior do NeuVector.
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Neuvector