PT-2022-9366 · Lens · Lens

Eren Karahasan · Publicado 2022-01-10 · Atualizado 2022-01-18 · CVE-2021-23154

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.3

Alta

Vetor base

AV:N/AC:M/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Lens anteriores à 5.3.4

Descrição

A vulnerabilidade permite que a configuração personalizada de gráficos Helm crie comandos Helm a partir da concatenação de strings de argumentos fornecidos, os quais são então executados no shell do usuário. Isso pode ser explorado fornecendo argumentos que façam com que comandos arbitrários do shell sejam executados no sistema.

Recomendações

Para versões do Lens anteriores à 5.3.4, atualize para a versão 5.3.4 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso da configuração personalizada do Helm Chart para minimizar o risco de exploração. Evite fornecer argumentos que possam ser usados para executar comandos arbitrários do shell.

Correção

Code Injection

OS Command Injection

Enumeração de Fraquezas

CWE-94

CWE-78

Identificadores relacionados

CVE-2021-23154

Produtos afetados

Lens

Referências · 4

• https://github.com/Mirantis/security/blob/main/advisories/0003.md · Nota
• https://t.me/cvenotify/25167 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-23154 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-23154 · Aviso do Fabricante