CVE-2026-25804: Estouro uint16 na atribuição de prioridade de políticas de rede no Antrea
A CVE-2026-25804 afeta o Antrea, solução de rede para Kubernetes, em que um estouro aritmético uint16 na atribuição de prioridades de políticas de rede pode gerar prioridades OpenFlow incorretas quando há muitas políticas com valores variados. Segundo o registro, isso pode resultar em aplicação incorreta de regras de tráfego. A NVD atribui CVSS 3.1 de 9.1, a fonte da CNA atribui CVSS 4.0 de 8, e a descrição indica correção na versão 2.4.3.
Visão geral
O Antrea é uma solução de rede para Kubernetes. De acordo com o registro, as versões afetadas contêm um estouro aritmético uint16 na atribuição de prioridades de políticas de rede. Quando há muitas políticas com valores de prioridade variados, as prioridades OpenFlow resultantes podem ser calculadas incorretamente. O registro descreve o resultado como possível aplicação incorreta de tráfego. Consulte o aviso de segurança no GitHub e o registro na NVD.
Impacto
- Políticas podem passar a valer com precedência não pretendida, o que pode permitir ou bloquear tráfego que o autor da política não queria. Trata-se de uma inferência a partir da descrição.
- A NVD atribui pontuação CVSS 3.1 de 9.1, com alto impacto em confidencialidade e disponibilidade e sem impacto em integridade, conforme o vetor do registro.
- A CNA do GitHub indica pontuação CVSS 4.0 de 8.
- O registro classifica a fraqueza como CWE-287 (Autenticação Inadequada), o que não corresponde claramente ao estouro descrito. Essa divergência não está resolvida.
Produtos e versões afetadas
- Linux Foundation Antrea: versões abaixo de 2.3.2 e versões a partir de 2.4.0 até antes de 2.4.3.
- O registro informa que o problema foi corrigido na versão 2.4.3. As faixas afetadas indicam que a 2.3.2 é a versão corrigida da linha 2.3, o que é uma inferência.
Status de exploração
O registro mostra que este CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS é de 0.0065, com percentil de 0.49806, datada de 2026-10-13 no registro.
Correção e mitigação
- Atualize o Antrea para a versão 2.4.3 ou posterior na linha 2.4, e para a 2.3.2 ou posterior na linha 2.3, conforme indicam as faixas afetadas.
- Revise o commit vinculado e o pull request para entender as alterações técnicas do fornecedor.
- Até concluir as atualizações, sempre que for operacionalmente viável, reduza a quantidade de políticas sobrepostas com prioridades variadas e valide se o tráfego aplicado corresponde à política pretendida.
Orientação para detecção
- Faça um inventário das versões do Antrea em todos os clusters e sinalize implantações abaixo das versões corrigidas.
- Após alterações de política em clusters grandes, compare os resultados pretendidos com o tráfego observado, buscando liberações ou bloqueios inesperados.
- Acompanhe a configuração de prioridades das políticas de rede pelo processo de gestão de mudanças, para identificar distribuições incomuns de valores de prioridade.
Limitações das informações disponíveis
O registro não traz descrição técnica detalhada do estouro, o limiar exato de disparo nem o efeito real em clusters de produção. A divergência de CWE e a data do EPSS permanecem sem resolução. O registro também não informa como a falha pode ser explorada na prática.
Perguntas frequentes
Quais versões do Antrea são afetadas pela CVE-2026-25804?
Segundo o registro, são afetadas as versões abaixo de 2.3.2 e as versões de 2.4.0 até antes de 2.4.3.
Existe correção para este problema?
O registro informa que o problema foi corrigido na versão 2.4.3. A atualização para uma versão corrigida da sua linha é o passo recomendado, e o aviso do fornecedor e o commit vinculado descrevem as alterações.
Este CVE é explorado na natureza?
O CVE não consta no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.