PT-2024-27053 · Volano · Volcano

Houqiyua · Publicado 2024-07-24 · Atualizado 2024-08-06 · CVE-2024-36533

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

volcano versão 1.8.2

Descrição

O problema está relacionado a permissões inseguras, permitindo que invasores acessem dados confidenciais e aumentem seus privilégios ao obter o token da conta de serviço. Isso pode ser feito por meio do endpoint volcano.sh/volcano.

Recomendações

Para a versão 1.8.2, considere restringir o acesso ao endpoint volcano.sh/volcano para minimizar o risco de exploração. Além disso, revise e ajuste as permissões para impedir o acesso não autorizado a dados confidenciais e a escalada de privilégios.

Correção

Enumeração de Fraquezas

CWE-1259

Identificadores relacionados

CVE-2024-36533

GHSA-5G3X-8G2V-R8X8

GO-2024-3034

Produtos afetados

Volcano

Referências · 11

• https://github.com/volcano-sh/volcano · Nota
• https://github.com/volcano-sh/volcano/issues/3446 · Nota
• https://github.com/volcano-sh/volcano/pull/3449 · Nota
• https://github.com/volcano-sh/volcano/commit/55963f71c76cb85cea1cdb9582ea7d58cfbedcf8 · Nota
• https://gist.github.com/HouqiyuA/a0e05a26ecc80bd970ac4649faecc930 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-36533 · Nota de Segurança
• https://osv.dev/vulnerability/GO-2024-3034 · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2024-3034 · Nota
• https://github.com/advisories/GHSA-5g3x-8g2v-r8x8 · Nota
• https://osv.dev/vulnerability/GHSA-5g3x-8g2v-r8x8 · Aviso do Fabricante
• https://t.me/cvedetector/1598 · Publicação no Telegram