PT-2024-39837 · Unknown+1 · Open Cluster Management+1
Sparkechooo
·
Publicado
2024-12-17
·
Atualizado
2026-02-25
·
CVE-2024-9779
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:N |
Nome do software vulnerável e versões afetadas
Open Cluster Management (OCM) (versões afetadas não especificadas)
Descrição
Foi identificada uma falha no Open Cluster Management (OCM) quando um usuário tem acesso aos nós de trabalho que contêm as implantações do cluster-manager ou do klusterlet. A implantação do cluster-manager utiliza uma conta de serviço com o mesmo nome “cluster-manager”, que está vinculada a uma ClusterRole também chamada “cluster-manager”, a qual inclui a permissão para criar recursos de Pod. Se essa implantação executar um pod em um nó controlado pelo invasor, este poderá obter o token do cluster-manager e roubar qualquer token de conta de serviço, criando e montando a conta de serviço alvo para controlar todo o cluster.
Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Incorrect Privilege Assignment
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Open Cluster Management
Suse