JVNDB-2026-014265

レッドハットのRed Hat Advanced Cluster Management for Kubernetesにおける不適切なデフォルトパーミッションに関する脆弱性

特定のMulticluster Engine for Kubernetesイメージにコンテナ権限昇格の脆弱性が発見されました。この問題は、ビルド時に/etc/passwdファイルがグループ書き込み可能な権限で作成されることが原因です。特定の条件下で、影響を受けるコンテナ内でコマンドを実行できる攻撃者は、非rootユーザーであってもrootグループのメンバーシップを利用して/etc/passwdファイルを変更できます。これにより、攻撃者は任意のUID（UID 0を含む）を持つ新しいユーザーを追加し、コンテナ内で完全なroot権限を取得する可能性があります。

レッドハット

• Red Hat Advanced Cluster Management for Kubernetes

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2391104  (CVE-2025-57851) CVE-2025-57851 mce: privilege escalation via excessive /etc/passwd permissions
• Red Hat Customer Portal : CVE-2025-57851 - Red Hat Customer Portal

1. 不適切なデフォルトパーミッション(CWE-276) [その他]

1. CVE-2025-57851

1. National Vulnerability Database (NVD) : CVE-2025-57851

• [2026年05月07日]
    掲載