PT-2024-11971 · Rancher · Rancher
Paulo Gomes
·
Publicado
2024-02-08
·
Atualizado
2024-10-30
·
CVE-2023-22649
CVSS v3.1
8.4
Alta
| Vetor | AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Rancher anteriores à 2.6.14
Versões do Rancher anteriores à 2.7.10
Versões do Rancher anteriores à 2.8.2
Descrição
Foi identificada uma vulnerabilidade que pode levar ao vazamento de dados confidenciais nos logs de auditoria do Rancher. O problema afeta implantações com o registro de auditoria do Rancher habilitado e AUDIT LEVEL definido como 1 ou superior. Os dados confidenciais que podem vazar incluem cabeçalhos HTTP, chamadas de servidor API que retornam objetos Secret, linhas de comando brutas usadas por agentes e conteúdos do Kubeconfig. A gravidade da vulnerabilidade está ligada à estratégia de registro empregada e às permissões das credenciais vazadas.
Recomendações
Para versões anteriores à 2.6.14, atualize para a versão 2.6.14 ou posterior para resolver o problema.
Para versões anteriores à 2.7.10, atualize para a versão 2.7.10 ou posterior para resolver o problema.
Para versões anteriores à 2.8.2, atualize para a versão 2.8.2 ou posterior para resolver o problema.
Como solução alternativa temporária, considere desativar o recurso de auditoria ou diminuir o AUDIT LEVEL para 0 para mitigar o problema.
Se for necessário um AUDIT LEVEL 1 ou superior e não for possível atualizar para uma versão corrigida, certifique-se de que o log seja tratado adequadamente e não seja compartilhado com outros usuários ou enviado para uma solução de ingestão de logs sem a aplicação adequada do RBAC.
Exploit
Correção
Insertion into Log File
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Rancher