PT-2022-24943 · Kubevela · Kubevela

Wangyikewxgm · Publicado 2022-11-16 · Atualizado 2022-12-07 · CVE-2022-39383

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 1.5 a 1.5.7 do KubeVela

Versões 1.6 a 1.6.0 do KubeVela

Descrição

O KubeVela é uma plataforma de entrega de aplicativos de código aberto. Os usuários que utilizam o VelaUX APIServer podem ser afetados por este problema. Ao usar o Helm Chart como método de entrega de componentes, o endereço de solicitação do repositório não é restrito, e existe uma vulnerabilidade SSRF cega.

Recomendações

Para as versões 1.5 a 1.5.7, atualize para a versão 1.5.8 ou posterior.

Para as versões 1.6 a 1.6.0, atualize para a versão 1.6.1 ou posterior.

Como solução temporária, considere restringir o endereço de solicitação do repositório ao usar o Helm Chart como método de entrega de componentes até que um patch esteja disponível.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2022-39383

GHSA-M5XF-X7Q6-3RM7

GO-2022-1113

Produtos afetados

Kubevela

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39383.json · Exploit
• https://github.com/kubevela/kubevela · Nota
• https://github.com/kubevela/kubevela/pull/5000 · Correção
• https://github.com/kubevela/kubevela/security/advisories/GHSA-m5xf-x7q6-3rm7 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-39383 · Nota de Segurança
• https://t.me/cvenotify/38097 · Publicação no Telegram
• https://t.me/cvenotify/37908 · Publicação no Telegram
• https://pkg.go.dev/vuln/GO-2022-1113 · Nota
• https://osv.dev/vulnerability/CVE-2022-39383 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-1113 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-m5xf-x7q6-3rm7 · Aviso do Fabricante