PT-2024-27465 · Cilium · Cilium

Sayboras

·

Publicado

2024-06-13

·

Atualizado

2025-01-09

·

CVE-2024-37307

CVSS v3.1

7.9

Alta

VetorAV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N
Nome do software vulnerável e versões afetadas
Versões do Cilium 1.13.0 a 1.13.16
Versões do Cilium 1.14.0 a 1.14.11
Versões do Cilium 1.15.0 a 1.15.5
Descrição
A saída do cilium-bugtool pode conter dados confidenciais quando a ferramenta é executada com o sinalizador --envoy-dump definido em implantações do Cilium com o proxy Envoy habilitado. Os usuários das políticas de rede de inspeção TLS, Ingress com terminação TLS, API de gateway com terminação TLS e Kafka com recursos de filtragem de chave de API são afetados. Os dados confidenciais incluem o certificado CA, a cadeia de certificados e a chave privada usados pelas Políticas de Rede HTTP do Cilium, e, ao usar Ingress/API de Gateway, as chaves de API usadas na política de rede relacionada ao Kafka.
Recomendações
Para as versões 1.13.0 a 1.13.16 do Cilium, atualize para a versão 1.13.17 ou posterior.
Para as versões 1.14.0 a 1.14.11 do Cilium, atualize para a versão 1.14.12 ou posterior.
Para as versões 1.15.0 a 1.15.5 do Cilium, atualize para a versão 1.15.6 ou posterior.
Como não há uma solução alternativa temporária disponível, a atualização para a versão corrigida é a ação recomendada.

Exploit

Correção

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BIT-CILIUM-2024-37307
BIT-CILIUM-OPERATOR-2024-37307
BIT-CILIUM-PROXY-2024-37307
BIT-HUBBLE-2024-37307
BIT-HUBBLE-RELAY-2024-37307
BIT-HUBBLE-UI-2024-37307
BIT-HUBBLE-UI-BACKEND-2024-37307
CVE-2024-37307
GHSA-WH78-7948-358J
GO-2024-2922

Produtos afetados

Cilium