PT-2022-3098 · Cri-O+7 · Cri-O+7
Adam Korcz
+1
·
Publicado
2022-06-06
·
Atualizado
2024-08-21
·
CVE-2022-1708
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do software vulnerável e versões afetadas
Versões do CRI-O anteriores à 1.24.1
Versões do CRI-O anteriores à 1.23.3
Versões do CRI-O anteriores à 1.22.5
Versões do CRI-O anteriores à v1.21.8
Versões do CRI-O anteriores à v1.20.8
Versões do CRI-O anteriores à v1.19.7
Descrição
Uma vulnerabilidade no CRI-O causa esgotamento de memória ou espaço em disco no nó para qualquer pessoa com acesso à API do Kube. A solicitação ExecSync executa comandos em um contêiner e registra a saída do comando. Essa saída é então lida pelo CRI-O após a execução do comando, e é lida de forma que todo o arquivo correspondente à saída do comando seja lido. Assim, se a saída do comando for grande, é possível esgotar a memória ou o espaço em disco do nó quando o CRI-O ler a saída do comando. A maior ameaça dessa vulnerabilidade é a disponibilidade do sistema.
Recomendações
Para versões do CRI-O anteriores à 1.24.1, atualize para a versão 1.24.1 ou posterior.
Para versões do CRI-O anteriores à 1.23.3, atualize para a versão 1.23.3 ou posterior.
Para versões do CRI-O anteriores à 1.22.5, atualize para a versão 1.22.5 ou posterior.
Para versões do CRI-O anteriores à v1.21.8, atualize para a versão v1.21.8 ou posterior.
Para versões do CRI-O anteriores à v1.20.8, atualize para a versão v1.20.8 ou posterior.
Para versões do CRI-O anteriores à v1.19.7, atualize para a versão v1.19.7 ou posterior.
Como solução alternativa temporária, considere restringir o acesso à API do Kube para minimizar o risco de exploração.
Exploit
Correção
DoS
Allocation of Resources Without Limits
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Cri-O
Centos
Red Hat
Red Os
Rocky Linux
Suse