PT-2021-14852 · Unknown · Cloud Controller

Publicado 2021-10-27 · Atualizado 2021-10-29 · CVE-2021-22101

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Cloud Controller anteriores à 1.118.0

Descrição

A vulnerabilidade permite que invasores não autenticados provoquem uma negação de serviço ao utilizar solicitações HTTP REST com label selectors em vários pontos de extremidade V3, gerando uma consulta SQL de grande porte. Isso pode resultar em uma negação de serviço.

Recomendações

Para versões do Cloud Controller anteriores à 1.118.0, atualize para a versão 1.118.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos endpoints V3 ou limitar o uso de label selectors em solicitações REST HTTP até que um patch esteja disponível.

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2021-22101

Produtos afetados

Cloud Controller

Referências · 4

• https://nvd.nist.gov/vuln/detail/CVE-2021-22101 · Nota de Segurança
• https://t.me/cibsecurity/31275 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-22101 · Aviso do Fabricante
• https://cloudfoundry.org/blog/cve-2021-22101-cloud-controller-is-vulnerable-to-unauthenticated-denial-of-service · Aviso do Fabricante