PT-2022-11483 · Unknown · Fabric 8 Kubernetes Client

Jordy + 1 · Publicado 2022-07-15 · Atualizado 2022-10-04 · CVE-2021-4178

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.7

Média

Vetor base

AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 5.0.0-beta-1 e superiores do cliente Kubernetes do Fabric 8

Descrição

Foi identificada uma falha no cliente Kubernetes do Fabric 8 devido a uma análise YAML configurada incorretamente, permitindo que um invasor local com privilégios envie um arquivo YAML malicioso, o que pode levar à execução de código arbitrário.

Recomendações

Para as versões 5.0.0-beta-1 e superiores, considere desativar a funcionalidade de análise de YAML até que um patch esteja disponível para impedir a exploração.

Restrinja o acesso ao cliente Fabric 8 Kubernetes para minimizar o risco de exploração por um invasor local e com privilégios.

Evite usar o cliente com entradas não confiáveis para impedir o fornecimento de YAML malicioso.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Deserialization of Untrusted Data

Code Injection

Enumeração de Fraquezas

CWE-502

CWE-94

Identificadores relacionados

CVE-2021-4178

GHSA-98G7-RXMF-RRXM

RHSA-2023:3299

Produtos afetados

Fabric 8 Kubernetes Client

Referências · 14

• https://github.com/fabric8io/kubernetes-client/issues/3653 · Nota
• https://github.com/fabric8io/kubernetes-client/commit/445103004d1ed3153d5abb272473451d05891e39 · Nota
• https://github.com/fabric8io/kubernetes-client · Nota
• https://bugzilla.redhat.com/show_bug.cgi?id=2034388 · Aviso do Fabricante
• https://t.me/cvenotify/35315 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-4178 · Aviso do Fabricante
• https://access.redhat.com/security/cve/CVE-2021-4178 · Aviso do Fabricante
• https://t.me/cibsecurity/48665 · Publicação no Telegram
• https://github.com/advisories/GHSA-98g7-rxmf-rrxm · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-4178 · Nota de Segurança
• https://mend.io/vulnerability-database/CVE-2021-4178 · Nota
• https://t.me/cvenotify/35075 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-98g7-rxmf-rrxm · Aviso do Fabricante
• https://access.redhat.com/security/cve/cve-2021-4178 · Nota