maclof kubernetes-client: Fehlende TLS-Zertifikatsprüfung für Kubernetes-API

Zusammenfassung

Die PHP-Bibliothek maclof kubernetes-client ab Version 0.17.0 vor 0.32.0 deaktiviert die TLS-Zertifikatsprüfung, wenn einer kubeconfig certificate-authority-data fehlt; insecure-skip-tls-verify wird dabei ignoriert. Ein Angreifer auf dem Netzwerkpfad zwischen Anwendung und Kubernetes-API-Server kann sich als API-Server ausgeben. So lassen sich Bearer-Token oder Basic-Credentials abgreifen sowie WebSocket- und REST-API-Verkehr manipulieren.

Betroffen

• maclof kubernetes-client 0.17.0 bis vor 0.32.0
• Standardkonfiguration ist nicht betroffen; die Schwachstelle tritt auf, wenn einer kubeconfig certificate-authority-data fehlt

Behoben in

• Auf Version 0.32.0 oder neuer aktualisieren (0.33.0 vor der Wahl der Zielversion prüfen)

Umgehung

• Unbekannt. Der Hersteller veröffentlicht keine Workaround.
• Nicht verifizierte Annahme: Bis zur Aktualisierung sicherstellen, dass kubeconfig-Dateien certificate-authority-data enthalten, und prüfen, wie die Anwendung den HTTP-Client aufbaut. Zuerst in einer Testumgebung prüfen.

Ausnutzung

• Nicht als aktiv ausgenutzt gelistet (KEV: No).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof of Concept gefunden; dies ist keine Bestätigung, dass keiner existiert.

Unsere Empfehlung

• composer.lock-Dateien und eingesetzte Container-Images auf maclof/kubernetes-client prüfen.
• Betroffene Installationen auf Version 0.32.0 oder neuer aktualisieren.
• Sicherstellen, dass kubeconfig-Dateien CA-Daten enthalten und Cluster-Verkehr nicht über unsichere Netze läuft.
• RBAC-Berechtigungen der von der Anwendung verwendeten Credentials überprüfen.
• Produktive Systeme in unsicheren oder geteilten Netzen priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record reference: maclof kubernetes-client repository github.com
• Vulnerable code in 0.31.0 (Client.php) github.com
• Fix commit 924c0b9 github.com
• Release 0.32.0 github.com
• VulnCheck advisory www.vulncheck.com
• OSV record CVE-2026-105223 osv.dev
• Packagist package maclof/kubernetes-client packagist.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:31.