「Karmada Dashboard」に深刻な脆弱性 - 修正版が公開

「Kubernetes」のマルチクラスタ管理機能を提供する「Karmada（Kubernetes Armada）」のウェブユーザーインタフェースである「Karmada Dashboard」に脆弱性が明らかとなった。

バックエンドのAPIに認証不備の脆弱性「CVE-2025-62714」が明らかとなったもの。

ウェブ経由でダッシュボードへアクセスした場合は認証が必要となるが、APIを経由した場合は認証トークンを必要とすることなくクラスタ内の機密情報へアクセスすることが可能だった。

開発チームは、アドバイザリにおいて同脆弱性の重要度を4段階中もっとも高い「クリティカル（Critical）」と評価している。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv4.0」のベーススコアを「8.7」、重要度を「高（High）」とした。

2025年10月13日に公開した「同0.2.0」で同脆弱性を解消しており、早急にアップデートするよう利用者に呼びかけている。またすぐに更新できない場合は、ファイアウォールなどを用いてアクセスを制限するなど回避策を講じるよう求めている。

（Security NEXT - 2025/10/28 ）ツイート