PT-2021-3738 · Red Hat · Red Hat Openshift Container Platform

Cj Cullen + 1 · Publicado 2021-07-15 · Atualizado 2026-06-06 · CVE-2021-25740

Positive Technologies (AI Summary) · Pt

CVSS v2.0

3.5

Baixa

Vetor base

AV:N/AC:M/Au:S/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Kubernetes (versões afetadas não especificadas)

Descrição

Existe uma falha de segurança no Kubernetes que poderia permitir que usuários enviassem tráfego de rede para locais aos quais normalmente não teriam acesso. Isso se deve a um ataque do tipo “confused deputy”. A vulnerabilidade envolve permissões relacionadas aos recursos Endpoint e EndpointSlice, possibilitando potencialmente o encaminhamento entre namespaces. Um ataque do tipo “confused deputy” ocorre quando um programa com certos privilégios é induzido a realizar ações em nome de outro programa, podendo conceder acesso não autorizado ou causar consequências indesejadas.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Incorrect Authorization

Enumeração de Fraquezas

CWE-441

CWE-610

CWE-863

Identificadores relacionados

BDU:2021-03991

CVE-2021-25740

GHSA-VW47-MR44-3JF9

OESA-2022-2139

Produtos afetados

Red Hat Openshift Container Platform

Referências · 30

• https://github.com/kubernetes/kubernetes · Nota
• https://github.com/kubernetes/kubernetes/issues/103675 · Nota
• https://security.netapp.com/advisory/ntap-20211014-0001 · Nota
• https://cve.org/CVERecord?id=CVE-2021-25740 · Nota de Segurança
• https://groups.google.com/g/kubernetes-security-announce/c/WYE9ptrhSLE · Nota
• https://openwall.com/lists/oss-security/2021/07/14/1 · Nota
• https://access.redhat.com/security/cve/cve-2021-25740 · Nota
• https://twitter.com/Cyb3rR3s34rch/status/2057664139355640263 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-vw47-mr44-3jf9 · Aviso do Fabricante
• https://twitter.com/5ergio_Cuellar/status/2063179074789355621 · Publicação no Twitter
• https://osv.dev/vulnerability/OESA-2022-2139 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-25740 · Aviso do Fabricante
• https://twitter.com/kubernetesio/status/1973057313553502324 · Publicação no Twitter
• https://t.me/cvenotify/21734 · Publicação no Telegram
• https://t.me/cvenotify/21173 · Publicação no Telegram