PT-2022-16897 · Flux2+1 · Flux2+2
Pjbgf
·
Publicado
2022-05-06
·
Atualizado
2024-03-06
·
CVE-2022-24817
CVSS v3.1
9.9
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Flux2, versões 0.1.0 a 0.29.0
helm-controller, versões 0.1.0 a 0.19.0
kustomize-controller, versões 0.1.0 a 0.23.0
Descrição
O problema diz respeito à injeção de código por meio de arquivos Kubeconfig maliciosos, o que pode levar à escalada de privilégios em implantações multilocatárias se a conta de serviço do controlador tiver permissões elevadas. Um usuário mal-intencionado com acesso de gravação a uma fonte Flux ou acesso direto ao cluster de destino poderia criar um Kubeconfig para executar código arbitrário dentro do contêiner do controlador. A vulnerabilidade requer permissões específicas, incluindo acesso direto ao cluster para criar ou modificar objetos Flux e segredos do Kubernetes, ou direitos de acesso para fazer alterações em uma fonte Flux configurada.
Recomendações
Para as versões 0.1.0 a 0.28.0 do Flux2, considere desativar a funcionalidade por meio de webhooks de admissão de validação, restringindo os usuários de definir o campo
spec.kubeConfig nos objetos Kustomization e HelmRelease do Flux.Para as versões 0.1.0 a 0.18.0 do helm-controller, aplique perfis restritivos do AppArmor e do SELinux no pod do controlador para limitar quais binários podem ser executados.
Para as versões 0.1.0 a 0.22.0 do kustomize-controller, aplique a mesma medida de mitigação usada para o helm-controller.
Atualize para a versão 0.29.0 do Flux2, que inclui o helm-controller v0.19.0 e o kustomize-controller v0.23.0 corrigidos, para resolver o problema.
Exploit
Correção
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Flux2
Helm-Controller
Kustomize-Controller