PT-2024-23857 · Fluxcd · Source-Controller
Jagpreet Singh Tamber
+1
·
Publicado
2024-05-15
·
Atualizado
2024-06-04
·
CVE-2024-31216
CVSS v3.1
5.1
Média
| Vetor | AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do source-controller anteriores à 1.2.5
Descrição
O source-controller é um operador do Kubernetes que implementa a API source.toolkit.fluxcd.io e é um componente essencial do kit de ferramentas GitOps. Ele é especializado na aquisição de artefatos de fontes externas, como Git, OCI, repositórios Helm e buckets compatíveis com S3. Quando o source-controller é configurado para usar um token SAS do Azure ao se conectar ao Azure Blob Storage, o token é registrado junto com a URL do Azure quando o controlador encontra um erro de conexão. Um invasor com acesso aos logs do source-controller poderia usar o token para obter acesso ao Azure Blob Storage até que o token expire.
Recomendações
Para versões anteriores à 1.2.5, atualize para a versão 1.2.5 para corrigir a vulnerabilidade. Como solução alternativa temporária, considere usar um mecanismo de autenticação diferente, como o Azure Workload Identity.
Exploit
Correção
Insertion into Log File
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Source-Controller