PT-2022-11916 · Spinnaker · Spinnaker
Sébastien Kaul
·
Publicado
2022-01-04
·
Atualizado
2022-01-14
·
CVE-2021-43832
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Spinnaker (versões afetadas não especificadas)
Descrição
O Spinnaker, uma plataforma de entrega contínua de código aberto e multicloud, possui permissões inadequadas que permitem a criação e execução de pipelines. Essa vulnerabilidade permite que um usuário arbitrário com acesso ao
gate endpoint crie um pipeline e o execute sem autenticação. Se o controle de acesso baseado em função (RBAC) não estiver configurado no Spinnaker, isso permite a execução remota e o acesso para implantar praticamente qualquer recurso em qualquer conta.Recomendações
Atualize para as versões mais recentes dos ramos suportados o mais rápido possível.
Se não for possível atualizar, habilite o RBAC em todas as contas e aplicativos para mitigar a capacidade de um pipeline afetar quaisquer contas.
Bloqueie o acesso ao aplicativo, a menos que as permissões estejam habilitadas.
Restrinja toda a criação de aplicativos por meio de curingas apropriadas.
Correção
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Spinnaker