Vulnerabilidad en KubeVirt (CVE-2025-64432)

KubeVirt es un complemento de gestión de máquinas virtuales para Kubernetes. Las versiones 1.5.3 e inferiores, y 1.6.0 contenían una implementación defectuosa del flujo de autenticación de la capa de agregación de Kubernetes que podría permitir la elusión de los controles RBAC. Se descubrió que el componente virt-API no logra autenticar correctamente al cliente al recibir solicitudes de API a través de mTLS. En particular, no logra validar el campo CN (Common Name) en los certificados TLS del cliente recibidos contra el conjunto de valores permitidos definidos en el configmap 'extension-apiserver-authentication'. La falta de validación de ciertos campos en el certificado TLS del cliente puede permitir a un atacante eludir los controles RBAC existentes al comunicarse directamente con el servidor API agregado, suplantando al servidor API de Kubernetes y su componente agregador. Este problema está corregido en las versiones 1.5.3 y 1.6.1.