Šta se desilo?

Ranjivost CVE-2026-105223 u PHP biblioteci maclof/kubernetes-client dovodi do isključivanja provere TLS sertifikata pri obradi određenih kubeconfig datoteka. Problem je u klijentskoj biblioteci, a ne opšta ranjivost svih Kubernetes klastera.

Koga pogađa?

Pogođene su verzije od 0.17.0 do verzija pre 0.32.0, kada se koriste parseKubeconfig() ili parseKubeconfigFile() sa konfiguracijom bez polja certificate-authority-data. Verzija 0.32.0 sadrži ispravku i ne pripada pogođenom opsegu.

Kako se zaštititi?

  • Ažurirajte biblioteku na 0.32.0 ili novije podržano izdanje sa ispravkom i ponovo postavite aplikacije koje koriste tu zavisnost.
  • Proverite da aplikacija zaista koristi novu verziju i da odbija nevažeći sertifikat servera. Nemojte uključivati insecure-skip-tls-verify da biste rešili greške sa sertifikatima.
  • Koristite odgovarajući, pouzdani CA i proverenu konfiguraciju veze. Sam firewall ne zamenjuje proveru TLS sertifikata.
  • Ako postoji sumnja na presretanje saobraćaja, opozovite i zamenite potencijalno izložene tokene i druge pristupne podatke, pa pregledajte Kubernetes audit logove.
  • Prilikom nadogradnje testirajte kompatibilnost aplikacije: izdanje 0.32.0 sadrži i promene repository klasa, za koje projekat daje smernice za migraciju.

Tehnički detalji

Neispravna logika bez CA podataka isključuje TLS proveru, zanemarujući vrednost opcije insecure-skip-tls-verify. Napadač koji može da presreće ili menja mrežni saobraćaj može da se predstavi kao Kubernetes API server, prikupi Bearer tokene ili Basic kredencijale i menja REST ili WebSocket saobraćaj. Napad zahteva takav položaj na putanji komunikacije.

VulnCheck je dodelio osnovnu CVSS 4.0 ocenu 9.1, kritično. NVD je prikazuje kao CNA ocenu. Zvanične beleške izdanja 0.32.0 potvrđuju ispravku nebezbednog TLS ponašanja kada kubeconfig nema CA podatke. Aktivna eksploatacija nije potvrđena u proverenim izvorima.

Zašto je važno?

Šifrovanje bez provere identiteta servera ne pruža očekivanu zaštitu od posrednika. Ukradeni pristupni podaci mogu omogućiti radnje u klasteru u granicama privilegija naloga ili tokena.

Preporuka Sajber Radara

Pronađite aplikacije koje koriste ovaj PHP paket, proverite verziju i način učitavanja kubeconfig konfiguracije. Nadogradnju završite proverom TLS ponašanja i najmanjih potrebnih privilegija pristupnih naloga.