Kubernetes Seite 4

Für Kubernetes wurde eine Sicherheitslücke (CVE-2025-9708) gemeldet.

Es liegt eine Schwachstelle in Kubernetes vor. Nähere technische Details sind in den vorliegenden Quellen nicht ausgewiesen. Der Schweregrad wird mit Mittel eingestuft. Die Ausnutzungswahrscheinlichkeit (EPSS) liegt bei 0.0 %.

Eine leicht ausnutzbare Schwachstelle betrifft die Komponente Kubernetes Operator im Produkt Oracle TimesTen In-Memory Database. Betroffen ist die unterstützte Version 26.1.1.1.0. Der Angriff erfolgt über das Netzwerk mit niedrigen Berechtigungen und kann bei Erfolg die Verfügbarkeit beeinträchtigen. CVSS-Basiswert: 6.5 (Mittel).

Für Kubernetes wurde eine Sicherheitslücke (CVE-2024-3744) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Komponente Kubernetes Operator des Produkts Oracle TimesTen In-Memory Database besteht eine leicht ausnutzbare Schwachstelle. Betroffen ist die Version 26.1.1.1.0. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Für Kubernetes wurde eine Sicherheitslücke (CVE-2023-2431) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Traefik 3.7.0 bis 3.7.6 besteht im Kubernetes-Gateway-API-Provider eine Namespace-Confusion-Schwachstelle. Beim Auflösen von HTTPRoute.spec.rules[].backendRefs[].filters[].extensionRef verarbeitet Traefik die Referenz fehlerhaft über Namespace-Grenzen hinweg. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine fehlerbereinigte Traefik-Version aktualisieren.

In Tilt, das Entwicklungsumgebungen für Microservice-Anwendungen auf Kubernetes als Code definiert, ist der HUD-WebSocket unter /ws/view (Versionen 0.24.0 bis 0.37.3) durch ein CSRF-Token abgesichert; dieses Token wird jedoch über einen nicht authentifizierten Endpunkt ausgeliefert, wodurch der Schutz umgangen werden kann. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Betroffene sollten auf eine bereinigte Version aktualisieren, sobald verfügbar.

In der Oracle TimesTen In-Memory Database (Komponente Kubernetes Operator) besteht eine laut Quelle leicht auszunutzende Schwachstelle. Betroffen ist die Version 26.1.1.1.0. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Für Kubernetes wurde eine Sicherheitslücke (CVE-2021-25749) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Schwachstelle in der REST-API des assisted-service, einer optionalen Komponente des Assisted Installer in der Multicluster Engine (MCE), erlaubt einem authentifizierten Benutzer mit minimalen namespace-bezogenen Rechten einen unzulässigen Zugriff. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Capsule ist ein Multi-Tenancy- und Policy-Framework für Kubernetes. In den Versionen 0.13.0 bis 0.13.8 ist der Fix für CVE-2026-22872 laut Quelle unvollständig: RawItems und Generators der TenantResource in den internen Controllern sind weiterhin betroffen. CVSS-Basiswert: 6.6 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Für Kubernetes wurde eine Sicherheitslücke (CVE-2025-7445) gemeldet.

Der Kong Kubernetes Ingress Controller (KIC) erlaubt einem Nutzer mit namespace-beschränkten Rechten zum Anlegen von Secrets, eine clusterweite Denial-of-Service-Situation in der Ingress-Konfiguration auszulösen. Laut Quelle sammelt KIC CA-Zertifikats-Secrets ein, was diesen Angriffsweg ermöglicht. Ein CVSS-Basiswert liegt für diese CVE derzeit nicht vor.

Der in den Kong Operator eingebettete Kong Kubernetes Ingress Controller (KIC) erlaubt laut NVD einem Nutzer mit namespace-beschränkten Rechten zum Anlegen von Secrets, eine clusterweite Denial-of-Service-Situation in der Ingress-Konfiguration auszulösen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Betroffen ist die Komponente Kubernetes Operator der Oracle TimesTen In-Memory Database in Version 26.1.1.1.0. Laut Quelle ist die Lücke leicht ausnutzbar; der CVSS-Vektor weist lokalen Zugriff, veränderte Sicherheitsgrenzen (Scope) und hohe Auswirkungen auf die Vertraulichkeit aus. CVSS-Basiswert: 6.5 (Mittel).

Im Produkt Oracle TimesTen In-Memory Database (Komponente Kubernetes Operator) besteht laut NVD eine Schwachstelle. Betroffen ist die unterstützte Version 26.1.1.1.0. Die Lücke ist laut Quelle leicht ausnutzbar; laut CVSS-Vektor erfolgt der Angriff lokal mit hohen Berechtigungen und kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig beeinträchtigen. CVSS-Basiswert: 6.7 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

In bestimmten Images der Multicluster Engine for Kubernetes besteht eine Schwachstelle zur Privilegienausweitung im Container. Ursache ist, dass die Datei /etc/passwd beim Build mit gruppenschreibbaren Berechtigungen angelegt wird. Angreifer können dies zur Rechteausweitung innerhalb des Containers ausnutzen. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine Schwachstelle betrifft die Oracle TimesTen In-Memory Database (Komponente: Kubernetes Operator) in Version 26.1.1.1.0. Laut Quelle ist die Lücke einfach ausnutzbar. CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Eine Schwachstelle in der Komponente Kubernetes Operator des Produkts Oracle TimesTen In-Memory Database betrifft laut Quelle die Version 26.1.1.1.0 und ist schwer ausnutzbar. Die Ausnutzung erfolgt lokal unter erschwerten Bedingungen mit geringen Rechten und wirkt sich auf die Vertraulichkeit aus (Vektor AV:L/AC:H/PR:L/S:C, C:H). CVSS-Basiswert: 5.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Capsule, ein Multi-Tenancy- und Policy-Framework für Kubernetes, weist vor Version 0.13.8 laut NVD eine Schwachstelle im Zusammenhang mit den Regex-Prüfungen für CapsuleConfiguration.Spec.NodeMetadata.ForbiddenLabels und die zugehörigen Forbidden-Annotationen auf. CVSS-Basiswert: 6.8 (Mittel). Ein EPSS-Wert liegt für diese CVE nicht vor. Die Quelldaten beschreiben den genauen Wirkmechanismus nicht vollständig.

Kamaji, der Hosted Control Plane Manager für Kubernetes, baut in den PostgreSQL- und MySQL/MariaDB-Datastore-Treibern vor Version 26.7.4-edge DDL-Anweisungen durch Interpolation nutzergesteuerter Werte wie DataStoreUsername auf. Dies ermöglicht SQL-Injection. CVSS-Basiswert: 4.7 (Mittel).

In den Spotfire-Server-Modulen von Spotfire Enterprise – einschliesslich der Varianten mit externen Konsumenten und dem Betrieb auf Kubernetes – besteht eine Schwachstelle. Nähere technische Details sind in den Quelldaten nicht ausgewiesen. Ein CVSS-Basiswert und ein EPSS-Wert liegen nicht vor. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt. Betroffene sollten ein verfügbares Hersteller-Update einspielen, sobald es vorliegt.

In F5 BIG-IP Container Ingress Services besteht eine Schwachstelle, die übermässige Berechtigungen zum Lesen von Cluster-Secrets in Kubernetes- bzw. OpenShift-Umgebungen erlauben kann. Software-Versionen, die das Ende des technischen Supports (EoTS) erreicht haben, werden laut Quelle nicht bewertet. CVSS-Basiswert: 4.9 (Mittel).

Für Kubernetes wurde eine Sicherheitslücke (CVE-2025-14269) gemeldet.

Für diese Schwachstelle in Kubernetes liegen derzeit keine näheren technischen Beschreibungen aus den Quellen vor. Sie wird mit dem Schweregrad Mittel eingestuft. Der Eintrag betrifft das überwachte Produkt Kubernetes. Weitere Details und mögliche Gegenmassnahmen sollten den Herstellerquellen entnommen werden, sobald diese verfügbar sind.

In Kubernetes wurde eine Sicherheitslücke entdeckt, die es Benutzern ermöglicht, über einen Confused-Deputy-Angriff Netzwerkverkehr an Ziele zu senden, auf die sie eigentlich keinen Zugriff haben sollten. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 2.0 %.

Als Massnahme gegen CVE-2020-8555 versucht Kubernetes zu verhindern, dass Proxy-Verbindungen auf Link-Local- oder Localhost-Netzwerke zugreifen. Es wurde festgestellt, dass dieser Schutz unter bestimmten Bedingungen umgangen werden kann. CVSS-Basiswert: 2.2 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %.

Im Capsule-Framework für Kubernetes wurde eine Schwachstelle in der Webhook-basierten Validierung von Namespace-Aktualisierungen gefunden. Der Schutzmechanismus gegen Namespace-Hijacking über Update- und Patch-Operationen ist unzureichend implementiert. CVSS-Basiswert: 3.9 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Schwachstelle im Produkt Oracle TimesTen In-Memory Database betrifft die Komponente Kubernetes Operator. Betroffen ist laut Quelle die Version 26.1.1.1.0; die Lücke ist einfach ausnutzbar. CVSS-Basiswert: 3.8 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

In der Kubernetes-Java-Client-Bibliothek wurde ein Sicherheitsproblem entdeckt, bei dem ein kompromittierter Pod über Copy-Operationen neue Dateien an beliebigen Orten auf der ausführenden Client-Maschine anlegen kann. CVSS-Basiswert: 2.4 (Niedrig).