PT-2021-20792 · Unknown · Kiali-Operator

Marian Rehak + 1 · Publicado 2021-06-01 · Atualizado 2024-08-21 · CVE-2021-3495

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do kiali-operator anteriores à 1.33.0

Versões do kiali-operator anteriores à 1.24.7

Descrição:

Foi detectada uma falha de controle de acesso incorreto no kiali-operator. Essa falha permite que um invasor com acesso básico ao cluster implante uma determinada imagem em qualquer ponto do cluster, podendo obter acesso a tokens de contas de serviço privilegiadas. A maior ameaça dessa falha é à confidencialidade e integridade dos dados, bem como à disponibilidade do sistema.

Recomendações:

Para versões anteriores à 1.33.0, atualize para a versão 1.33.0 ou posterior.

Para versões anteriores à 1.24.7, atualize para a versão 1.24.7 ou posterior.

Como solução temporária, considere restringir o acesso ao cluster para minimizar o risco de exploração.

Correção

Improper Preservation of Permissions

Enumeração de Fraquezas

CWE-281

Identificadores relacionados

CVE-2021-3495

GHSA-MV55-23XP-3WP8

GO-2022-0645

Produtos afetados

Kiali-Operator

Referências · 9

• https://github.com/kiali/kiali-operator/pull/278 · Nota
• https://osv.dev/vulnerability/GO-2022-0645 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-3495 · Nota de Segurança
• https://github.com/advisories/GHSA-mv55-23xp-3wp8 · Nota
• https://kiali.io/news/security-bulletins/kiali-security-003 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=1947361 · Correção
• https://t.me/cvenotify/16258 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-3495 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mv55-23xp-3wp8 · Aviso do Fabricante