Antony Di Scala

**Nome do Software Vulnerável e Versões Afetadas** Imagens de container KServe ModelMesh (versões afetadas não especificadas) **Descrição** Existe uma falha de escalonamento de privilégios em container devido ao arquivo /etc/passwd ser criado com permissões de escrita para o grupo durante o processo de construção. Um atacante com a capacidade de executar comandos dentro de um container afetado, mesmo como um usuário não root, pode explorar sua associação ao grupo root para modificar o arquivo /etc/passwd. Isso permite a adição de um novo usuário com um UID arbitrário, potencialmente incluindo o UID 0, resultando em privilégios totais de root dentro do container. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Name of the Vulnerable Software and Affected Versions: mirror-registry (affected versions not specified) Description: The mirror-registry does not properly sanitize the host header HTTP header in received HTTP requests, which allows an attacker to perform malicious redirects to attacker-controlled domains or phishing campaigns. Recommendations: At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Operator-SDK anteriores à 0.15.2 **Descrição** Versões iniciais do Operator-SDK incluíam um método inseguro para que contêineres do operator fossem executados em ambientes que utilizam um UID aleatório. Um script, `user setup`, modificava as permissões do arquivo `/etc/passwd` para 664 durante o build. Um invasor executando comandos dentro de um contêiner afetado, mesmo como um usuário não root, poderia aproveitar a associação ao grupo root para modificar o arquivo `/etc/passwd`. Isso poderia permitir a adição de um novo usuário com um UID arbitrário, potencialmente incluindo o UID 0, resultando em privilégios totais de root dentro do contêiner. **Recomendações** Atualize para a versão 0.15.2 ou posterior do Operator-SDK. Se estiver usando uma versão anterior, garanta que o script inseguro `user setup` não seja utilizado durante o build da imagem do contêiner.

**Nome do Software Vulnerável e Versões Afetadas** OpenShift Mirror Registry (versões afetadas não especificadas) **Descrição** Foi encontrada uma falha no Mirror Registry. O container quay-app distribuído como parte do Mirror Registry para OpenShift possui acesso de escrita ao arquivo `/etc/passwd`. Esta falha permite que um ator malicioso com acesso ao container modifique o arquivo passwd e eleve seus privilégios para o usuário root dentro desse pod. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** OpenShift Service Mesh versions 2.5.6 through 2.6.3 **Description** A flaw was found in OpenShift Service Mesh due to improper HTTP header sanitization in Envoy. This may lead to rate-limiter avoidance, access-control bypass, CPU and memory exhaustion, and replay attacks. **Recommendations** For versions 2.5.6 and 2.6.3, consider disabling the Envoy HTTP header handling functionality until a patch is available. Restrict access to the Envoy module to minimize the risk of exploitation. Avoid using unsanitized HTTP headers in the affected API endpoints until the issue is resolved.

**Nome do Software Vulnerável e Versões Afetadas** Versões do OpenShift Service Mesh de 2.5.6 a 2.6.3 **Descrição** O problema ocorre devido à sanitização inadequada de cabeçalhos HTTP pelo Envoy, particularmente o cabeçalho `x-forwarded-for`. Essa falta de sanitização pode permitir que atacantes injetem payloads maliciosos nos logs do service mesh, resultando em ataques de injeção de log e spoofing. Tais injeções podem induzir erro nos mecanismos de registro de logs, permitindo que atacantes manipulem entradas de log ou executem ataques de cross-site scripting (XSS) refletido. **Recomendações** Para a versão 2.5.6 do OpenShift Service Mesh, atualize para uma versão que realize a sanitização adequada dos cabeçalhos HTTP. Para a versão 2.6.3 do OpenShift Service Mesh, atualize para uma versão que realize a sanitização adequada dos cabeçalhos HTTP. Como solução temporária, considere restringir o acesso ao cabeçalho `x-forwarded-for` para minimizar o risco de exploração.