The remote SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2023:1967-1 advisory.

  - KubeVirt is a virtual machine management add-on for Kubernetes. In versions 0.59.0 and prior, if a     malicious user has taken over a Kubernetes node where virt-handler (the KubeVirt node-daemon) is running,     the virt-handler service account can be used to modify all node specs. This can be misused to lure-in     system-level-privileged components which can, for instance, read all secrets on the cluster, or can exec     into pods on other nodes. This way, a compromised node can be used to elevate privileges beyond the node     until potentially having full privileged access to the whole cluster. The simplest way to exploit this,     once a user could compromise a specific node, is to set with the virt-handler service account all other     nodes to unschedulable and simply wait until system-critical components with high privileges appear on its     node. No patches are available as of time of publication. As a workaround, gatekeeper users can add a     webhook which will block the `virt-handler` service account to modify the spec of a node. (CVE-2023-26484)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモート Azure Linux 3.0 ホストにインストールされている kubevirt のバージョンは、 より前のバージョンです。したがって、CVE-2023-26484 のアドバイザリに記載されている脆弱性の影響を受けます。

  - KubeVirt は、Kubernetes 用の仮想マシン管理アドオンです。バージョン 0.59.0 以前では、悪意のあるユーザーが virt-handler (KubeVirt node-daemon) が実行されている Kubernetes ノードを乗っ取る場合、virt-handler サービスアカウントを使用してすべてのノードの仕様を変更できます。これが悪用されて、システムレベルの権限を持つコンポーネントが誘導される可能性があります。これにより、たとえば、クラスター上のすべてのシークレットを読み取ったり、他のノードのポッドで exec を実行したりする可能性があります。この方法では、危険にさらされたノードを使用して、潜在的にクラスター全体に対する完全な権限アクセスができるまで、ノードを超えて権限を昇格できます。これを悪用する最も簡単な方法は、ユーザーが特定のノードを侵害する可能性がある場合、他のすべてのノードを virt-handler サービスアカウントでスケジュール不可に設定し、高い権限を持つシステムクリティカルなコンポーネントがそのノードに表示されるまで単に待機することです。公開時のパッチはありません。回避策として、ゲートキーパーユーザーは、「virt-handler」サービスアカウントをブロックする webhook を追加して、ノードの仕様を変更できます。(CVE-2023-26484)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:1967-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - KubeVirt は、Kubernetes 用の仮想マシン管理アドオンです。バージョン 0.59.0 以前では、悪意のあるユーザーが virt-handler (KubeVirt node-daemon) が実行されている Kubernetes ノードを乗っ取る場合、virt-handler サービスアカウントを使用してすべてのノードの仕様を変更できます。これが悪用されて、システムレベルの権限を持つコンポーネントが誘導される可能性があります。これにより、たとえば、クラスター上のすべてのシークレットを読み取ったり、他のノードのポッドで exec を実行したりする可能性があります。この方法では、危険にさらされたノードを使用して、潜在的にクラスター全体に対する完全な権限アクセスができるまで、ノードを超えて権限を昇格できます。これを悪用する最も簡単な方法は、ユーザーが特定のノードを侵害する可能性がある場合、他のすべてのノードを virt-handler サービスアカウントでスケジュール不可に設定し、高い権限を持つシステムクリティカルなコンポーネントがそのノードに表示されるまで単に待機することです。公開時のパッチはありません。回避策として、ゲートキーパーユーザーは、「virt-handler」サービスアカウントをブロックする webhook を追加して、ノードの仕様を変更できます。(CVE-2023-26484)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The version of kubevirt installed on the remote Azure Linux 3.0 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the CVE-2023-26484 advisory.

  - KubeVirt is a virtual machine management add-on for Kubernetes. In versions 0.59.0 and prior, if a     malicious user has taken over a Kubernetes node where virt-handler (the KubeVirt node-daemon) is running,     the virt-handler service account can be used to modify all node specs. This can be misused to lure-in     system-level-privileged components which can, for instance, read all secrets on the cluster, or can exec     into pods on other nodes. This way, a compromised node can be used to elevate privileges beyond the node     until potentially having full privileged access to the whole cluster. The simplest way to exploit this,     once a user could compromise a specific node, is to set with the virt-handler service account all other     nodes to unschedulable and simply wait until system-critical components with high privileges appear on its     node. No patches are available as of time of publication. As a workaround, gatekeeper users can add a     webhook which will block the `virt-handler` service account to modify the spec of a node. (CVE-2023-26484)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of kubevirt installed on the remote CBL Mariner 2.0 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the CVE-2023-26484 advisory.

  - KubeVirt is a virtual machine management add-on for Kubernetes. In versions 0.59.0 and prior, if a     malicious user has taken over a Kubernetes node where virt-handler (the KubeVirt node-daemon) is running,     the virt-handler service account can be used to modify all node specs. This can be misused to lure-in     system-level-privileged components which can, for instance, read all secrets on the cluster, or can exec     into pods on other nodes. This way, a compromised node can be used to elevate privileges beyond the node     until potentially having full privileged access to the whole cluster. The simplest way to exploit this,     once a user could compromise a specific node, is to set with the virt-handler service account all other     nodes to unschedulable and simply wait until system-critical components with high privileges appear on its     node. No patches are available as of time of publication. As a workaround, gatekeeper users can add a     webhook which will block the `virt-handler` service account to modify the spec of a node. (CVE-2023-26484)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

遠端 Azure Linux 3.0 主機上安裝的 kubevirt 版本比測試版本舊。因此，此版本會受到 CVE-2023-26484 公告中提及的一個弱點影響。

  - KubeVirt 是適用於 Kubernetes 的虛擬機器管理附加元件。在 0.59.0 和更舊版本中如果惡意使用者接管了執行 virt-handler (KubeVirt node-daemon) 的 Kubernetes 節點則可使用 virt-handler 服務帳戶修改所有節點規格。這可能會遭到誤用以引誘擁有系統層級權限的元件例如讀取叢集中的所有密碼或在其他節點上的 pod 中執行。如此便可利用遭入侵的節點提升該節點以外的權限直到可能以完整的權限存取整個叢集。一旦使用者可能入侵特定節點便惡意利用此弱點的最簡單方法是以 virt-handler 服務帳戶將所有其他節點設為不可排程並等到具有高權限的系統關鍵元件出現在其節點上為止。截至發佈時尚無可用的修補程式。作為因應措施gatekeeper 使用者可以新增 webhook其將封鎖 `virt-handler` 服務帳戶以修改節點的規格。 (CVE-2023-26484)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Azure Linux 3.0 主机上安装的 kubevirt 版本低于 测试的 版本。因此，该程序受到 CVE-2023-26484 公告中提及的一个漏洞影响。

  - KubeVirt 是 Kubernetes 的虚拟机管理附加组件。在 0.59.0 和之前版本中若恶意用户接管了运行 virt-handler (the KubeVirt node-daemon) 的 Kubernetes 节点可使用 virt-handler 服务帐户修改所有节点规格。可被滥用于诱骗引入 system-level-privileged 组件这些组件例如可读取群集上的所有机密或者 exec 进入其他节点上的 pod。这样一来，受到破坏的节点可被用于将权限提升到该节点之外，直到可能拥有访问整个群集的完全权限。一旦用户可以危害特定节点利用此问题的最简单方法是使用 virt-handler 服务帐户将所有其他节点设置为不可计划并等待具有高权限的系统关键组件出现在其节点上。截至发布时无可用修补程序。作为变通方案Gatekeeper 用户可添加 Webhook其将阻止“virt-handler”服务帐户修改节点的 spec。 (CVE-2023-26484)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
174718	SUSE SLES15 / openSUSE 15 Security Update : kubevirt, virt-api-container, virt-controller-container, virt-handler-container, virt-launcher-container, virt-libguestfs-tools-container, virt-operator-container (SUSE-SU-2023:1967-1)	Nessus	SuSE Local Security Checks	2023/4/25	2023/7/14	high
215344	Azure Linux 3.0 セキュリティ更新kubevirtCVE-2023-26484	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/2/10	high
174718	SUSE SLES15 / openSUSE 15 セキュリティ更新: kubevirt、virt-api-container、virt-controller-container、virt-handler-container、virt-launcher-container、virt-libguestfs-tools-container、virt-operator-container (SUSE-SU-2023:1967-1)	Nessus	SuSE Local Security Checks	2023/4/25	2023/7/14	high
215344	Azure Linux 3.0 Security Update: kubevirt (CVE-2023-26484)	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/2/10	high
207011	CBL Mariner 2.0 Security Update: kubevirt (CVE-2023-26484)	Nessus	MarinerOS Local Security Checks	2024/9/12	2024/12/13	high
215344	Azure Linux 3.0 安全性更新kubevirt (CVE-2023-26484)	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/2/10	high
215344	Azure Linux 3.0 安全更新kubevirt (CVE-2023-26484)	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/2/10	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high