JVNDB-2026-022651

KubeVirt等の複数ベンダの製品における入力確認に関する脆弱性

KubeVirtのネットワーク注釈ジェネレーターに欠陥が発見されました。テナントがMultusネットワーク構成でVirtualMachineInstanceを作成する際、指定されたnetworkNameの値がフォーマット検証やサニタイズなしに、そのままlauncherポッドのv1.multus-cni.io/default-network注釈に書き込まれます。唯一の受け入れチェックでは空文字列を拒否しますが、DNS-1123形式の検証やJSON検出、特別な文字の拒否はいずれも実施されていません。ExternalNetResourceInjectionベータ機能ゲートが有効（デフォルトでは無効でクラスタ管理者のみが使用可能）な場合、通常は名前の不正を検出するNADの検索が設計上スキップされます。kubevirt.io:edit権限を持つテナントは、任意の名前空間、NAD名、静的IPアドレス、MACアドレスを指定したJSON形式のNetworkSelectionElement配列を注入できます。ノード上のMultusはこのJSONを解析し、指定された名前空間のネットワークアタッチメントにlauncherポッドを接続します。これにより、通常はテナントのワークロードから分離されているネットワークセグメント上で、名前空間を跨いだネットワークアクセスおよびIP/MACのなりすましが可能になります。ExternalNetResourceInjection機能ゲートはKubeVirt v1.8.0（OpenShift Virtualization 4.21で初出）で導入されました。

KubeVirt

• KubeVirt

レッドハット

• OpenShift Virtualization 4 から 4.22.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2493576  (CVE-2026-13434) CVE-2026-13434 virt-controller-rhel9: kubevirt: kubevirt: Multus default-network annotation injection via unvalidated tenant networkName when ExternalNetResourceInjection is enabled
• Red Hat Customer Portal : CVE-2026-13434 - Red Hat Customer Portal

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-13434

1. National Vulnerability Database (NVD) : CVE-2026-13434

• [2026年07月08日]
    掲載