CVE-2026-78424: выполнение команд ОС в SUSE NeuVector приводит к компрометации узлов Kubernetes
В SUSE NeuVector обнаружена уязвимость внедрения команд ОС с оценкой CVSS 8.8, позволяющая аутентифицированному пользователю с правом записи Runtime Policies выполнить произвольные команды в привилегированном контейнере enforcer. Эксплуатация приводит к полной компрометации worker-узла Kubernetes. Уязвимы версии 5.4 до 5.4.11, 5.5 до 5.5.4 и 5.6 до 5.6.2.
Подробности
Уязвимости присвоен идентификатор CVE-2026-78424 и базовая оценка CVSS 8.8 (HIGH). Тип уязвимости — внедрение команд ОС (OS Command Injection) с возможностью удалённого выполнения кода (Remote Code Execution). Согласно описанию, недостаточная проверка параметров в NeuVector даёт двум категориям злоумышленников возможность внедрять команды ОС в привилегированный контейнер enforcer: - любому аутентифицированному пользователю, обладающему правом записи (write) на namespaced-ресурс Runtime Policies; - любому, кто имеет доступ к паре ключей внутреннего gRPC-сертификата NeuVector. Успешная эксплуатация ведёт к полной компрометации worker-узла (worker node) кластера Kubernetes, поскольку контейнер enforcer работает с привилегиями и имеет широкий доступ к узлу. Уязвимость затрагивает следующие версии SUSE NeuVector: - NeuVector 5.4 до 5.4.11; - NeuVector 5.5 до 5.5.4; - NeuVector 5.6 до 5.6.2; - возможно, более старые версии.Что делать
Основная рекомендация — обновить SUSE NeuVector до исправленных версий: 5.4.11, 5.5.4 или 5.6.2 (в зависимости от используемой ветки). Поскольку уязвимость требует наличия аутентификации или доступа к ключам gRPC-сертификата, в качестве дополнительных мер митигации до установки обновления следует: - ограничить круг пользователей, обладающих правом записи на Runtime Policies, и пересмотреть назначенные роли RBAC; - обеспечить строгий контроль и защиту пары ключей внутреннего gRPC-сертификата NeuVector, исключив несанкционированный доступ к ней; - усилить мониторинг активности в привилегированных контейнерах enforcer на предмет подозрительного выполнения команд; - проверить журналы доступа к API и gRPC на предмет признаков компрометации. После обновления рекомендуется провести ревизию учётных записей и сертификатов, имевших доступ к затронутым компонентам, и при необходимости выполнить их ротацию. Итог: CVE-2026-78424 — серьёзная уязвимость в SUSE NeuVector, позволяющая при определённых условиях полностью скомпрометировать worker-узел Kubernetes. Исправления уже доступны, поэтому приоритетной задачей для организаций, использующих затронутые версии, является оперативное обновление и ограничение привилегий пользователей Runtime Policies.Источник: CVE Project (cvelistV5)