PT-2022-23178 · Kubevela · Kubevela

Fogdong · Publicado 2022-09-07 · Atualizado 2022-09-16 · CVE-2022-36089

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do KubeVela anteriores à 1.4.11 e à 1.5.4

Descrição

O KubeVela é uma plataforma de entrega de aplicativos que pode ser afetada por uma falha de contorno de autenticação. O VelaUX APIServer usa o PlatformID como chave assinada para gerar tokens JWT para os usuários. A API getSystemInfo expõe o platformID, permitindo que os usuários regenerem tokens JWT e contornem a autenticação.

Recomendações

Para versões anteriores à 1.4.11, atualize para a versão 1.4.11 ou posterior.

Para versões anteriores à 1.5.4, atualize para a versão 1.5.4 ou posterior.

Como solução alternativa temporária, considere restringir o acesso à API getSystemInfo para minimizar o risco de exploração.

Exploit

Correção

Enumeração de Fraquezas

CWE-294

Identificadores relacionados

CVE-2022-36089

GHSA-CQ42-W295-R29Q

Produtos afetados

Kubevela

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/36xxx/CVE-2022-36089.json · Exploit
• https://github.com/kubevela/kubevela/security/advisories/GHSA-cq42-w295-r29q · Correção
• https://github.com/kubevela/kubevela/pull/4634 · Nota
• https://osv.dev/vulnerability/CVE-2022-36089 · Aviso do Fabricante
• https://t.me/cibsecurity/49414 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-36089 · Nota de Segurança