PT-2022-16907 · Garden · Garden

Publicado 2022-04-11 · Atualizado 2022-04-19 · CVE-2022-24829

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Garden anteriores à 0.12.39

Descrição

O Garden é uma plataforma de automação para desenvolvimento e testes do Kubernetes. Em alguns modos de operação, vários endpoints não exigiam autenticação, permitindo que um invasor obtivesse acesso à aplicação indevidamente. A configuração é vazada através do endpoint “/api” no servidor local responsável por hospedar o painel do Garden. Esse servidor é acessível a qualquer pessoa na mesma rede ou a qualquer pessoa na internet, caso esteja em um IP público e estático, o que pode levar à possibilidade de comprometimento de credenciais, segredos ou variáveis de ambiente.

Recomendações

Para versões anteriores à 0.12.39, atualize para a versão 0.12.39 o mais rápido possível.

Para usuários que não possam atualizar, use um firewall para bloquear o acesso à porta 9777 de todas as máquinas de rede não confiáveis.

Exploit

Correção

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2022-24829

GHSA-F5F3-QRQW-2VQF

Produtos afetados

Garden

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24829.json · Exploit
• https://github.com/garden-io/garden/commit/56051a5b50409227bc420910da88ed156a6e432b · Correção
• https://github.com/garden-io/garden/security/advisories/GHSA-f5f3-qrqw-2vqf · Nota
• https://osv.dev/vulnerability/CVE-2022-24829 · Aviso do Fabricante
• https://t.me/cibsecurity/40546 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2022-24829 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-24829 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-24829 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2022-24829 · Nota de Segurança