B0B0Haha

**Nome do Software Vulnerável e Versões Afetadas** Kestra versões anteriores a 1.3.24 **Description** O componente de autenticação BasicAuth da plataforma de orquestração de fluxo de trabalho Kestra OSS armazena senhas usando SHA-512, que possui alta velocidade de computação. Um invasor com acesso de leitura ao banco de dados PostgreSQL pode realizar um ataque de força bruta offline para recuperar a senha do administrador. Em implantações de Kubernetes, isso pode levar à escalada vertical de privilégios, permitindo que o invasor leia o ServiceAccount Token do cluster e todos os K8s Secrets. **Recommendations** Atualize para a versão 1.3.24.

**Nome do Software Vulnerável e Versões Afetadas** Apache DolphinScheduler versões anteriores a 3.4.2 **Description** Uma falha de verificação de autorização na API DataSource permite que usuários não autenticados exponham metadados arbitrários de fontes de dados. Isso ocorre porque a API não exige login para acessar informações sensíveis de metadados. **Recommendations** Atualizar para a versão 3.4.2.

**Nome do Software Vulnerável e Versões Afetadas** Apache DolphinScheduler versões anteriores a 3.4.2 **Description** Existe uma autorização incorreta na interface experimental `/v2`. **Recommendations** Atualizar para a versão 3.4.2.

**Nome do Software Vulnerável e Versões Afetadas** Capsule versões anteriores a 0.13.0 **Descrição** O Capsule Controller é executado com privilégios de cluster-admin. Existe uma falha na função `HandleSection()` dentro do arquivo `internal/controllers/resources/processor.go`, onde a lógica de processamento de `RawItems` do `TenantResource` não valida adequadamente os escopos dos recursos. Embora o controlador tente definir um namespace usando `obj.SetNamespace()`, essa ação é ignorada pela API do Kubernetes para recursos de escopo de cluster. Consequentemente, usuários com privilégios de Tenant Owner podem aproveitar as permissões elevadas do controlador para criar recursos de escopo de cluster, como `ClusterRole` e `ValidatingWebhookConfiguration`, que não estão autorizados a criar diretamente. Isso pode levar à escalada de privilégios entre tenants, ataques em nível de cluster, roubo de dados sensíveis de todos os tenants via webhooks maliciosos ou negação de serviço em todo o cluster. **Recomendações** Atualize para a versão 0.13.0. Como medida paliativa temporária, restrinja as permissões da ServiceAccount do Capsule Controller para remover os privilégios de `cluster-admin`, caso não sejam estritamente necessários.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel K versões 2.0.0 a 2.8.0 Apache Camel K versões 2.9.0 a 2.9.1 Apache Camel K versão 2.10.0 **Descrição** Usuários autorizados em um namespace do Kubernetes podem criar um recurso de Build para controlar a geração de Pods em um namespace de sua escolha, incluindo o namespace do operador. Essa falha de cross-namespace permite que usuários sequestrem pods em namespaces seguros por meio de uma referência externamente controlada a um recurso em outra esfera e bypass de autorização via chave controlada pelo usuário. **Recomendações** Atualizar as versões 2.0.0 a 2.8.0 para 2.8.1. Atualizar as versões 2.9.0 a 2.9.1 para 2.9.2. Atualizar a versão 2.10.0 para 2.10.1.

**Nome do Software Vulnerável e Versões Afetadas** local-path-provisioner versões anteriores a 0.0.36 **Description** Um usuário malicioso com permissões para editar o ConfigMap `local-path-config` no namespace `local-path-storage` pode manipular o template `helperPod.yaml`. Este template é usado para criar HelperPods durante as operações de provisionamento e limpeza de PVC, mas não é suficientemente validado antes do uso. Um invasor pode injetar campos sensíveis de segurança, como `securityContext.privileged`, volumes `hostPath` e capacidades do Linux no template. Quando uma operação de PVC dispara a criação de um HelperPod, o provisionador utiliza o template controlado pelo invasor, resultando potencialmente em um pod privilegiado executando no nó de destino com o sistema de arquivos raiz do host montado. Isso permite que o invasor acesse arquivos confidenciais do host, leia tokens de ServiceAccount de outros pods no mesmo nó, acesse dados de volume de local-path de outros locatários ou modifique arquivos no nó host. **Recommendations** Atualize para a versão 0.0.36 ou posterior. Restrinja o acesso de escrita ao ConfigMap `local-path-config` no namespace `local-path-storage` apenas a administradores confiáveis. Marque o ConfigMap `local-path-config` como imutável. Habilite o Kubernetes Pod Security Admission para o namespace `local-path-storage`, aplicando a política `baseline` para evitar a criação de HelperPods privilegiados.

**Nome do Software Vulnerável e Versões Afetadas** DevSpace versões anteriores a 6.3.21 **Descrição** O WebSocket do servidor de interface do usuário aceita conexões de todas as origens por padrão, expondo vários endpoints. Um site malicioso visitado por um desenvolvedor usando um navegador pode estabelecer uma conexão WebSocket de origem cruzada para 'ws://127.0.0.1:8090'. Isso permite o acesso não autorizado aos seguintes endpoints: - '/api/logs' para transmitir logs de pods em tempo real - '/api/enter' para abrir um shell interativo dentro do pod em execução - '/api/command' para executar comandos de pipeline predefinidos **Recomendações** Atualize para a versão 6.3.21 ou posterior.

**Name of the Vulnerable Software and Affected Versions** Contour versões 1.19.0 até 1.31.5 Contour versões 1.32.0 até 1.32.4 Contour versões 1.33.0 até 1.33.3 **Description** O recurso de Cookie Rewriting está suscetível à injeção de código Lua. Um invasor com permissões de RBAC para criar ou modificar recursos HTTPProxy pode fornecer valores maliciosos nas variáveis `spec.routes[].cookieRewritePolicies[].pathRewrite.value` ou `spec.routes[].services[].cookieRewritePolicies[].pathRewrite.value`, resultando na execução de código arbitrário no proxy Envoy. Isso ocorre porque valores controlados pelo usuário são interpolados no código-fonte Lua usando Go text/template sem a sanitização suficiente. Embora o código injetado seja executado apenas na própria rota do invasor, ele pode ser usado para ler credenciais de cliente xDS do Envoy no sistema de arquivos — expondo potencialmente certificados TLS e chaves privadas de outros locatários — ou causar a negação de serviço para outros locatários que compartilham a instância do Envoy. **Recommendations** Atualizar para a versão 1.31.6. Atualizar para a versão 1.32.5. Atualizar para a versão 1.33.4.

**Name of the Vulnerable Software and Affected Versions** KubePlus versão 4.14 **Description** O endpoint '/registercrd' no componente kubeconfiggenerator está suscetível a injeção de comando. O problema ocorre porque o componente utiliza a função `subprocess.Popen()` com o parâmetro `shell=True` para executar comandos de shell, concatenando diretamente o parâmetro `chartName` fornecido pelo usuário na string de comando sem a devida sanitização ou validação. Isso permite que um invasor execute comandos de shell arbitrários ao fornecer um valor malicioso para a variável `chartName`. **Recommendations** Como medida paliativa temporária, evite usar o parâmetro `chartName` no endpoint '/registercrd' até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** SchemaHero version 0.23.0 **Description** A SQL Injection issue exists in SchemaHero version 0.23.0. The issue is due to a flaw in the `mysqlColumnAsInsert` function within the `plugins/mysql/lib/column.go` file, specifically related to the `column` parameter. This allows for potential manipulation of SQL queries. The `column` parameter is vulnerable. **Recommendations** Update to a newer version that contains a fix for this vulnerability. As a temporary workaround, consider restricting access to the `mysqlColumnAsInsert` function until a patch is available.

**Name of the Vulnerable Software and Affected Versions** KubePlus version 4.1.4 **Description** KubePlus versions 4.1.4 contain a Server-Side Request Forgery (SSRF) issue within the mutating webhook and kubeconfiggenerator components when handling the `chartURL` field of ResourceComposition resources. The `chartURL` field is URL-encoded without proper validation of the target address. Specifically, when the kubeconfiggenerator component uses `wget` to download charts, the `chartURL` is directly incorporated into the command, enabling attackers to inject `wget`'s `--header` option and achieve arbitrary HTTP header injection. The API endpoint used for chart downloads is not specified. The vulnerable parameter is `chartURL`. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** SchemaHero version 0.23.0 **Description** A SQL Injection issue exists in SchemaHero version 0.23.0. The issue is located in the `columnAsInsert` function within the `plugins/postgres/lib/column.go` file, specifically through the `column` parameter. The vulnerability allows for potential manipulation of SQL queries through the `column` parameter. **Recommendations** Update to a newer version of SchemaHero that addresses this issue. As a temporary workaround, consider restricting access to the `columnAsInsert` function or carefully validating the `column` parameter before use.

**Name of the Vulnerable Software and Affected Versions** Kube-router versions prior to 2.8.0 **Description** Kube-router's proxy module does not validate externalIPs or loadBalancer IPs before programming them into the node's network configuration. This impacts multi-tenant clusters where untrusted users have namespace-scoped permissions to create or modify Services. The `buildServicesInfo()` function copies IPs from `Service.spec.externalIPs` and `status.loadBalancer.ingress` without validating them against the `--service-external-ip-range` parameter. An attacker can bind arbitrary VIPs on all cluster nodes or cause denial of service to critical cluster services such as kube-dns. The `--service-external-ip-range` parameter is only used by the netpol module and is not checked by the proxy module. This allows attackers to potentially hijack traffic or disrupt DNS services. The vulnerability can be exploited by creating a Service with an externalIP matching the kube-dns ClusterIP, redirecting all DNS queries to attacker-controlled pods. The issue is not unique to kube-router, as the upstream Kubernetes project identified a similar issue as CVE-2020-8554. **Recommendations** Update to Kube-router version 2.8.0 or later.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Nuclio anteriores à 1.15.20 **Descrição** O componente Shell Runtime do Nuclio contém um problema de injeção de comando. Quando uma função é invocada via HTTP, o runtime lê o cabeçalho `X-Nuclio-Arguments` e incorpora diretamente seu valor em comandos de shell sem validação ou sanitização. Isso permite que invasores com permissões de invocação de função injetem comandos maliciosos, potencialmente executando código arbitrário com privilégios de root em contêineres de função, roubando Tokens de ServiceAccount com permissões de nível cluster-admin e, finalmente, obtendo controle completo sobre o cluster Kubernetes. A vulnerabilidade decorre da falta de validação ao processar argumentos fornecidos pelo usuário na função `getCommandArguments` e da subsequente execução desses argumentos usando `sh -c`. Os invasores podem explorar isso criando payloads maliciosos no cabeçalho `X-Nuclio-Arguments`, aproveitando metacaracteres de shell como ponto e vírgula, pipes e crases para injetar comandos arbitrários. A vulnerabilidade afeta todas as versões que incluem o componente Shell Runtime. Uma exploração bem-sucedida pode levar ao comprometimento completo do cluster, incluindo violações de dados, ataques à cadeia de suprimentos e implantação de ransomware. **Recomendações** Desative o Shell Runtime definindo `enabled: false` na configuração da plataforma Nuclio. Restrinja as permissões de implantação de funções usando Controle de Acesso Baseado em Função (RBAC) para limitar quem pode implantar funções. Implemente validação rigorosa de entrada na função `getCommandArguments` para filtrar caracteres inseguros. Remova o uso da execução `sh -c` e utilize execução de comando parametrizada em vez disso. Limite as permissões da ServiceAccount usada pelos pods de função para reduzir o impacto potencial de uma exploração bem-sucedida.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Kruise anteriores à 1.8.3 Versões do Kruise anteriores à 1.7.5 **Descrição** O Kruise permite o gerenciamento automatizado de aplicativos no Kubernetes. Existe uma falha na funcionalidade PodProbeMarker onde a validação do webhook não restringe o campo 'Host' em configurações de sondagem personalizadas utilizando manipuladores TCPSocket ou HTTPGet. Como o kruise-daemon é executado com hostNetwork habilitado, ele executa sondagens a partir do namespace de rede do nó. Um invasor com permissão para criar PodProbeMarkers pode especificar valores arbitrários para 'Host' para acionar Falsificação de Solicitação do Lado do Servidor (SSRF) a partir do nó, realizar varredura de portas e receber feedback de resposta através das mensagens de status do NodePodProbe. A vulnerabilidade permite o acesso a serviços locais do nó, metadados da nuvem e recursos de rede internos. A sondagem `tcpSocket` permanece vulnerável, enquanto as sondagens `httpGet` são rejeitadas pelo webhook no OpenKruise v1.8.0. O componente vulnerável é o `PodProbeMarker` e a função afetada é `newTCPSocketProber`. **Recomendações** Versões anteriores à 1.8.3: Atualize para a versão 1.8.3 ou posterior. Versões anteriores à 1.7.5: Atualize para a versão 1.7.5 ou posterior. Restrinja as permissões de criação do PodProbeMarker. Aplique políticas de rede limitando o tráfego de saída do kruise-daemon. Audite os recursos existentes do PodProbeMarker.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Kargo 1.9.0 a 1.9.2 **Descrição** O Kargo gerencia e automatiza a promoção de artefatos de software. O modelo de autorização inclui um verbo "promote" destinado a controlar o acesso a pipelines de promoção. Embora corretamente aplicado na API gRPC, três endpoints da API REST omitem essa verificação, confiando apenas no RBAC padrão do Kubernetes. Isso permite que usuários com permissões padrão, mas sem acesso explícito ao "promote", contornem os limites de autorização pretendidos. Os **Endpoints de API** afetados são /v1beta1/projects/{project}/freight/{freight}/approve, /v1beta1/projects/{project}/stages/{stage}/promotions e /v1beta1/projects/{project}/stages/{stage}/promotions/downstream. O problema decorre da ausência de uma verificação de autorização para o verbo "promote" nesses endpoints. **Recomendações** Atualize para a versão 1.9.3 ou posterior para resolver este problema.

**Nome do Software Vulnerável e Versões Afetadas** Kargo versões 1.7.0 a 1.7.7 Kargo versão 1.8.11 Kargo versão 1.9.3 **Descrição** O Kargo gerencia e automatiza a promoção de artefatos de software. Os endpoints de criação em lote de recursos tanto da API gRPC legada do Kargo quanto da mais recente API REST aceitam cargas úteis YAML com múltiplos documentos. Cargas úteis especialmente elaboradas podem permitir que um atacante injete recursos arbitrários no namespace subjacente de um Project existente, utilizando as próprias permissões do servidor da API, quando esse comportamento não é intencional. Isso pode ser explorado para elevar permissões, potencialmente levando à execução remota de código ou exfiltração de segredos. Credenciais exfiltradas de repositórios de artefatos podem ser usadas para ataques adicionais. Em algumas configurações de cluster Kubernetes, permissões elevadas podem permitir a execução remota de código ou exfiltração de segredos usando o `kubectl`. Os **Endpoints de API** afetados são os endpoints de criação em lote de recursos tanto da API gRPC legada quanto da mais recente API REST. O problema decorre da lógica desses endpoints ao processar cargas úteis YAML com múltiplos documentos. Um atacante pode explorar isso para injetar recursos em Projects existentes. **Recomendações** Atualize para a versão 1.7.8 do Kargo ou posterior. Atualize para a versão 1.8.11 do Kargo. Atualize para a versão 1.9.3 do Kargo ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões 0.19.0 e anteriores do Yoke **Descrição** O componente Air Traffic Controller (ATC) do Yoke contém uma falha que permite que usuários com permissões de criação/atualização de Recursos Personalizados (CR) executem código WASM arbitrário. Isso é feito injetando uma URL maliciosa por meio da anotação `overrides.yoke.cd/flight`. O controlador ATC faz o download e executa o módulo WASM sem validar a URL, possibilitando que atacantes criem recursos arbitrários do Kubernetes ou eleve privilégios. A vulnerabilidade está no processamento da anotação `overrides.yoke.cd/flight`, onde o controlador usa diretamente a URL fornecida pelo usuário sem validação adequada. A verificação de permissão apenas confirma a permissão `update` em recursos `airways`, falhando em impedir a execução de código WASM arbitrário. Um Proof of Concept (PoC) demonstra a criação de um módulo WASM malicioso que gera um ConfigMap chamado `stolen-credentials` no cluster, comprovando a execução de código arbitrário. A vulnerabilidade é categorizada como Remote Code Execution (RCE) / Injeção de Código. Atacantes com permissões de criação/atualização de CR e acesso à rede para hospedar WASM malicioso podem explorar essa falha. O impacto inclui o comprometimento potencial da confidencialidade, integridade e disponibilidade. **Recomendações** Versões anteriores à 0.19.0: Desative o recurso de substituição de anotação removendo ou desativando o processamento da anotação `overrides.yoke.cd/flight` em ambientes de produção. Versões anteriores à 0.19.0: Restrinja o acesso de rede de saída do controlador ATC para evitar o download de módulos WASM externos. Versões anteriores à 0.19.0: Limite as permissões de criação/atualização de CR apenas a usuários confiáveis. Versões anteriores à 0.19.0: Implante um webhook de validação para rejeitar CRs com anotações `overrides.yoke.cd/flight`.

**Nome do Software Vulnerável e Versões Afetadas** Yoke versões 0.18.x e anteriores **Descrição** O componente Air Traffic Controller (ATC) do Yoke não possui mecanismos adequados de autenticação para seus endpoints de webhook. Isso permite que qualquer pod dentro da rede do cluster envie solicitações AdmissionReview diretamente para o webhook, contornando a autenticação do Servidor de API do Kubernetes. Atacantes podem explorar isso para acionar a execução de módulos WASM no contexto do controlador ATC sem autorização. Os endpoints vulneráveis incluem '/validations/{airway}', '/validations/resources', '/validations/flights.yoke.cd', '/validations/airways.yoke.cd' e '/crdconvert/{airway}'. O problema decorre da ausência de verificação de certificado cliente TLS, validação da origem da solicitação ou qualquer forma de middleware de autenticação na implementação do manipulador HTTP. Um atacante pode enviar solicitações AdmissionReview elaboradas para esses endpoints, potencialmente levando à execução não autorizada de WASM e, combinado com outras falhas, à criação de recursos Kubernetes arbitrários. O impacto inclui riscos potenciais à confidencialidade, integridade e disponibilidade. **Recomendações** Versões anteriores à 0.19.0: Implantar uma Política de Rede para restringir o acesso ao serviço ATC, permitindo que apenas o kube-apiserver se conecte. Versões anteriores à 0.19.0: Utilizar uma malha de serviços (Istio, Linkerd) para aplicar mTLS entre os serviços. Versões anteriores à 0.19.0: Implementar políticas de segurança de pods estritas para limitar quais pods podem ser criados no cluster.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Devtron anteriores à 2.0.0 **Descrição** O Devtron é uma plataforma de integração de ferramentas para Kubernetes. Existe uma falha na interface da API de Attributes que permite a usuários autenticados obter a chave de assinatura do Token de API global acessando o endpoint `/orchestrator/attributes?key=apiTokenSecret`. A obtenção desta chave permite que atacantes forjem tokens JWT para identidades de usuário arbitrárias offline, potencialmente concedendo controle completo sobre a plataforma Devtron e permitindo movimento lateral para o cluster Kubernetes subjacente. O problema foi resolvido com o commit d2b0d26. **Recomendações** Atualize para uma versão posterior à 2.0.0.