PT-2024-27554 · Microsoft · Azure-File-Csi-Driver

Rita Zhang · Publicado 2024-05-09 · Atualizado 2024-06-10 · CVE-2024-3744

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

azure-file-csi-driver (versões afetadas não especificadas)

Descrição

Foi detectada uma falha de segurança no azure-file-csi-driver, na qual um invasor com acesso aos registros do driver poderia observar tokens de contas de serviço. Esses tokens poderiam, então, ser potencialmente trocados com provedores de nuvem externos para acessar segredos armazenados em soluções de cofre na nuvem. Os tokens são registrados apenas quando TokenRequests está configurado no objeto CSIDriver e o driver está definido para ser executado no nível de log 2 ou superior por meio do sinalizador -v.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insertion into Log File

Enumeração de Fraquezas

CWE-532

Identificadores relacionados

CVE-2024-3744

GHSA-QJQG-4WG7-957H

GO-2024-2861

Produtos afetados

Azure-File-Csi-Driver

Referências · 14

• https://github.com/kubernetes/kubernetes/issues/124759 · Nota
• https://github.com/kubernetes-sigs/azurefile-csi-driver/commit/a1b7446de942136419f07394efeef804523f87ae · Nota
• https://github.com/kubernetes-sigs/azurefile-csi-driver · Nota
• https://github.com/kubernetes-sigs/azurefile-csi-driver/commit/e11ff3dc2c03894cde692213308f9991e7bbd5bf · Nota
• https://osv.dev/vulnerability/GO-2024-2861 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qjqg-4wg7-957h · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-3744 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-3744 · Aviso do Fabricante
• https://github.com/advisories/GHSA-qjqg-4wg7-957h · Nota
• https://groups.google.com/g/kubernetes-security-announce/c/hcgZE2MQo1A/m/Y4C6q-CYAgAJ · Nota
• https://t.me/cvenotify/79803 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1788532812083077315 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2024/05/09/4 · Nota
• https://twitter.com/oss_security/status/1791151658241753396 · Publicação no Twitter