PT-2024-30617 · Openshift · Openshift

Zack Miele · Publicado 2024-04-30 · Atualizado 2024-06-19 · CVE-2024-4369

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

OpenShift (versões afetadas não especificadas)

Descrição

Foi identificada uma falha de divulgação de informações no operador do registro interno de imagens do OpenShift. O AZURE CLIENT SECRET pode ser exposto por meio de uma variável de ambiente definida na definição do pod, mas isso se limita a ambientes do Azure. Um invasor que controle uma conta com permissões suficientes para obter informações do pod a partir do namespace openshift-image-registry poderia usar esse segredo de cliente obtido para realizar ações como a conta de serviço do Azure do operador do registro.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Enumeração de Fraquezas

CWE-526

Identificadores relacionados

CVE-2024-4369

Produtos afetados

Openshift

Referências · 10

• https://t.me/cvenotify/78645 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1785476590056726995 · Publicação no Twitter
• https://t.me/cvenotify/83720 · Publicação no Telegram
• https://access.redhat.com/errata/RHSA-2024:3881 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-4369 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1785548627563208808 · Publicação no Twitter
• https://access.redhat.com/errata/RHSA-2024:3889 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=2278035 · Nota
• https://twitter.com/linuxpatch/status/1785475614046110120 · Publicação no Twitter
• https://access.redhat.com/security/cve/CVE-2024-4369 · Nota