CVE-2022-36035

Flux, Kubernetes klasterlərini konfiqurasiya mənbələri ilə (məsələn, Git repozitoriyaları) sinxron saxlamaq və tətbiq ediləcək yeni kod olduqda konfiqurasiya yeniləmələrini avtomatlaşdırmaq üçün istifadə olunan bir alətdir. Flux CLI istifadəçilərə komanda sətri vasitəsilə Flux komponentlərini Kubernetes klasterinə yerləşdirməyə imkan verir. Bu zəiflik digər tətbiqlərə Flux yerləşdirmə məlumatlarını ixtiyari məzmunla əvəzləməyə imkan verir və həmin məzmun hədəf Kubernetes klasterində tətbiq edilir. Zəiflik, istifadəçi tərəfindən təqdim edilən giriş məlumatlarının yanlış idarə olunmasından qaynaqlanır ki, bu da hücumçu tərəfindən idarə oluna bilən yol keçidi (path traversal) ilə nəticələnir. Digər tətbiqlərlə və Flux CLI əmrləri arasında eyni shell mühitini paylaşan istifadəçilər bu zəiflikdən təsirlənə bilər. Bəzi ssenarilərdə heç bir xəta görünməyə bilər, bu da son istifadəçilərin nəsə yanlış getdiyini anlamamasına səbəb ola bilər. Təhlükəsiz alternativ həll yolu kimi Flux CLI-ın müvəqqəti və izolyasiya edilmiş shell mühitlərində icra edilməsi tövsiyə olunur ki, bu da əvvəlki proseslərdən heç bir qalıcı dəyərin qalmadığını təmin edə bilər. Bununla belə, CLI-ın ən son versiyasına yüksəltmə etmək hələ də tövsiyə olunan təhlükəsizlik strategiyasıdır.