CVE-2023-40585

ironic-image, Metal³-ün tərkibində OpenStack Ironic-i işlətmək üçün konteyner imicidir. capm3-v1.4.3 versiyasından əvvəl, əgər Ironic TLS ilə tətbiq edilməyibsə və onun API və Conductor hissələri ayrı xidmətlərə bölünməyibsə, API-ya giriş heç bir autentifikasiya ilə qorunmur. Eyni zamanda, Ironic API host şəbəkəsini dinləyir. Node fayrvoll arxasında deyilsə, API-ya hər kəs şəbəkə vasitəsilə autentifikasiyasız daxil ola bilər. Defolt olaraq, Metal3-də Ironic API TLS və baza autentifikasiyası ilə qorunur, buna görə də bu zəifliyin yaranması üçün operatorun API-ni TLS olmadan konfiqurasiya etməsi tələb olunur. Lakin, capm3-v1.4.3-dən əvvəlki versiyalarda olduğu kimi, TLS və autentifikasiya bir-birindən asılı olmamalıdır. capm3-v1.4.3 və daha yeni versiyalarda yamama mövcuddur. Bəzi alternativ həll yolları var: ya Ironic API üçün TLS konfiqurasiya edin (`deploy.sh -t ...`, `IRONIC_TLS_SETUP=true`), ya da konfiqurasiya dəyişikliyi vasitəsilə Ironic API və Conductor-u bölün (köhnə tətbiqdir, tövsiyə edilmir). Hər iki alternativ həll yolu ilə xidmətlər müvafiq autentifikasiya konfiqurasiyasına malik olan httpd front-end ilə konfiqurasiya edilir.