PT-2024-27465 · Cilium · Cilium
Sayboras
·
Publicado
2024-06-13
·
Atualizado
2025-01-09
·
CVE-2024-37307
CVSS v3.1
7.9
Alta
| Vetor | AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do Cilium 1.13.0 a 1.13.16
Versões do Cilium 1.14.0 a 1.14.11
Versões do Cilium 1.15.0 a 1.15.5
Descrição
A saída do
cilium-bugtool pode conter dados confidenciais quando a ferramenta é executada com o sinalizador --envoy-dump definido em implantações do Cilium com o proxy Envoy habilitado. Os usuários das políticas de rede de inspeção TLS, Ingress com terminação TLS, API de gateway com terminação TLS e Kafka com recursos de filtragem de chave de API são afetados. Os dados confidenciais incluem o certificado CA, a cadeia de certificados e a chave privada usados pelas Políticas de Rede HTTP do Cilium, e, ao usar Ingress/API de Gateway, as chaves de API usadas na política de rede relacionada ao Kafka.Recomendações
Para as versões 1.13.0 a 1.13.16 do Cilium, atualize para a versão 1.13.17 ou posterior.
Para as versões 1.14.0 a 1.14.11 do Cilium, atualize para a versão 1.14.12 ou posterior.
Para as versões 1.15.0 a 1.15.5 do Cilium, atualize para a versão 1.15.6 ou posterior.
Como não há uma solução alternativa temporária disponível, a atualização para a versão corrigida é a ação recomendada.
Exploit
Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cilium