PT-2026-38260 · Suse+1 · Harvester+1
Publicado
2026-05-06
·
Atualizado
2026-06-16
·
CVE-2025-71261
CVSS v3.1
8.6
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H |
Nome do Software Vulnerável e Versões Afetadas
SUSE Virtualization versões anteriores a 1.8.0
Description
Existe uma falha de segurança no mecanismo de integração do SUSE Virtualization com o Rancher, onde o cliente de registro utiliza uma opção de TLS insegura que não verifica o certificado do servidor remoto. Um invasor com acesso ao nível de rede entre o SUSE Virtualization e o Rancher Manager poderia interferir no handshake TLS para ignorar os controles de segurança do TLS, potencialmente enganando o cliente de registro para enviar solicitações a um serviço impostor por meio de um ataque de man-in-the-middle. Além disso, o sistema processa payloads de resposta sem validação de tamanho, o que poderia permitir que um invasor induza um estouro de buffer de memória, levando a uma falha no controlador de registro. Este problema afeta especificamente a configuração
cluster-registration-url.Recommendations
Atualize para a versão 1.8.0 ou superior.
Como alternativa temporária, garanta que apenas administradores de cluster autorizados possam acessar e modificar a configuração
cluster-registration-url.Correção
DoS
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Harvester
Github.Com/Harvester/Harvester