CVE-2024-56514

Karmada, istifadəçilərə bulud əsaslı tətbiqləri çox sayda Kubernetes klasterləri və buludlarında işə salmağa imkan verən bir Kubernetes idarəetmə sistemidir. Versiya 1.12.0-dək həm karmadactl, həm də karmada-operator-də Karmada üçün tələb olunan fərdi resurs təriflərini (CRD-lər) əldə etmək üçün fayl sistemi yolu və ya HTTP(s) URL-i təqdim etmək mümkündür. CRD-lər sıxılmış tar faylı kimi yüklənir və TarSlip zəifliyinə qarşı həssasdır. Karmada başladılmasına bədniyyətli CRD faylı daxil edə bilən hücumçu, fayl sisteminin istənilən yollarında ixtiyari faylları yaza bilər. Karmada versiya 1.12.0-dan başlayaraq, fərdi CRD fayllarının emalı zamanı fayl sisteminin davamlılığını artırmaq üçün CRD arxivinin yoxlanılması tətbiq edilmişdir. Müvəqqəti həll yolu mövcuddur. Karmada qurulumu üçün `karmadactl init` istifadə edərkən, Karmada başlatılması üçün tələb olunan CRD fayllarını fərdiləşdirmək məqsədilə `--crd` bayrağını təyin etməsi lazım olan şəxs, potensial bədniyyətli faylların olub-olmadığını müəyyən etmək üçün fayl yollarını dəyişə bilən `../` kimi ardıcıllıqların olub-olmadığını yoxlamaq üçün CRD fayllarını əllə nəzərdən keçirə bilər. Karmada qurulumu üçün karmada-operator istifadə edildikdə, karmada-operator düzəliş edilmiş versiyalardan birinə yüksəldilməlidir.