PT-2021-19621 · Suse · Suse Rancher K3S+1
Chris Wayne
·
Publicado
2021-07-28
·
Atualizado
2022-11-14
·
CVE-2021-32001
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
**Nome do software vulnerável e versões afetadas:
Versões do SUSE Rancher K3s de v1.19.12+k3s1 a v1.21.2+k3s1 e versões anteriores
Versões do RKE2 de v1.19.12+rke2r1 a v1.21.2+rke2r1 e versões anteriores
Descrição:
Uma falha na criptografia de dados confidenciais permite que qualquer usuário com acesso direto ao datastore, ou a uma cópia de backup do datastore, extraia o material de chave confidencial do cluster (chaves privadas da autoridade certificadora do cluster, senha de configuração de criptografia de segredos, etc.) e o descriptografe, sem precisar conhecer o valor do token.
Recomendações:
Para as versões do SUSE Rancher K3s v1.19.12+k3s1 até v1.21.2+k3s1 e versões anteriores, considere restringir o acesso ao datastore e aos backups para minimizar o risco de exploração.
Para as versões do RKE2 v1.19.12+rke2r1 até v1.21.2+rke2r1 e versões anteriores, considere implementar medidas de segurança adicionais para proteger o material de chave confidencial do cluster.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Missing Encryption of Sensitive Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Rke2
Suse Rancher K3S