CVE-2023-44392

Garden, Kubernetes inkişafı və sınağı üçün avtomatlaşdırma təmin edir. Versiya 0.13.17 və 0.12.65-dən əvvəlki versiyalarda Garden, deserializasiyanın təhlükəsiz olmayan tətbiqi səbəbindən kod inyeksiyasına qarşı həssas olan cryo kitabxanasından asılıdır. Garden, sınaq və iş nəticələrini keşləmək üçün cryo vasitəsilə seriyalaşdırılmış obyektləri `test-result` və `run-result` prefiksləri ilə Kubernetes `ConfigMap` resurslarında saxlayır. Bu `ConfigMap`-lər ya `garden-system` ad sahəsində (namespace), ya da konfiqurasiya edilmiş istifadəçi ad sahəsində saxlanılır. İstifadəçi `garden test` və ya `garden run` əmrini çağırdıqda, `ConfigMap`-də saxlanılan obyektlər götürülür və deserializasiya edilir. Kubernetes klasterinə giriş imkanı olan hücumçu bundan istifadə edərək `ConfigMap`-də zərərli obyektlər yerləşdirə bilər ki, bu da cryo obyekti deserializasiya etdikdə istifadəçinin maşınında uzaqdan kodun icrasını (RCE) tetikleyə bilər. Bu boşluqdan istifadə etmək üçün hücumçu Garden uzaq mühitlərini yerləşdirmək üçün istifadə olunan Kubernetes klasterinə giriş imkanına malik olmalıdır. Bundan əlavə, istifadəçi əvvəllər keşlənmiş nəticələri olan `garden test` və ya `garden run` əmrlərindən birini aktiv şəkildə çağırmalıdır. Problem Garden-in `0.13.17` (Bonsai) və `0.12.65` (Acorn) versiyalarında aradan qaldırılıb. Yalnız bu versiyalardan əvvəlki Garden versiyaları həssasdır. Heç bir məlum alternativ həll yolu mövcud deyil.