PT-2022-2058 · Unknown+2 · Kubeclient+2
Cben
·
Publicado
2022-02-24
·
Atualizado
2022-04-07
·
CVE-2022-0759
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do kubeclient anteriores à 4.9.3
Descrição
O problema está relacionado a erros no procedimento de autenticação de certificados da classe Kubeclient::Config no cliente da API REST do Kubernetes. Isso pode permitir que um invasor remoto execute um ataque Man-in-the-middle (MITM). O problema ocorre quando o arquivo kubeconfig não configura uma CA personalizada para verificar certificados, fazendo com que o kubeclient aceite qualquer certificado.
Recomendações
Para versões anteriores à 4.9.3, atualize para a versão 4.9.3 ou posterior para resolver o problema. Como solução temporária, considere configurar uma CA personalizada para verificar certificados no arquivo kubeconfig, a fim de minimizar o risco de exploração. Restrinja o acesso a recursos confidenciais até que a atualização seja aplicada.
Exploit
Correção
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Debian
Rocky Linux
Kubeclient