PT-2024-8475 · Kubernetes+1 · Kubernetes Kubelet+2
Imre Rad
·
Publicado
2024-11-20
·
Atualizado
2024-12-13
·
CVE-2024-10220
CVSS v4.0
8.6
Alta
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do Kubernetes kubelet até 1.28.11
Versões do Kubernetes kubelet de 1.29.0 a 1.29.6
Versões do Kubernetes kubelet de 1.30.0 a 1.30.2
Descrição
A vulnerabilidade permite a execução de comandos arbitrários por meio de volumes gitRepo especialmente criados. Isso pode ser explorado por um invasor para executar comandos fora dos limites do contêiner, levando potencialmente a uma fuga do contêiner. A vulnerabilidade está relacionada à pasta hooks no repositório de destino. Estima-se que mais de 3 milhões de resultados sejam afetados, e a vulnerabilidade foi identificada em várias versões do Kubernetes.
Recomendações
Para versões do Kubernetes kubelet até a 1.28.11, atualize para a versão 1.28.12 para resolver o problema.
Para versões do Kubernetes kubelet de 1.29.0 a 1.29.6, atualize para a versão 1.29.7 para resolver o problema.
Para versões do Kubernetes kubelet de 1.30.0 a 1.30.2, atualize para a versão 1.30.3 para resolver o problema.
Como solução alternativa temporária, considere desativar o uso de volumes gitRepo até que um patch esteja disponível.
Restrinja o acesso à pasta hooks no repositório de destino para minimizar o risco de exploração.
Exploit
Correção
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Kubernetes
Kubernetes Kubelet
Red Os