CVE-2025-53542
Təsvir
Headlamp genişləndirilə bilən Kubernetes veb interfeysidir. Kubernetes Headlamp layihəsinin macOS paketləmə iş axınında istifadə olunan codeSign.js skriptində əmr inyeksiyası zəifliyi aşkar edilmişdir. Bu problem, mühit dəyişənlərindən əldə edilən və hücumçu tərəfindən təsir edilə bilən təmizlənməmiş giriş məlumatlarının Node.js-in execSync() funksiyasında yanlış istifadəsi səbəbindən yaranır. ${teamID}, ${entitlementsPath} və ${config.app} dəyişənləri dinamik olaraq mühitdən və ya tətbiq konfiqurasiyasından götürülür və lazımi xüsusi simvolların silinməsi (escaping) və ya arqumentlərin ayrılması olmadan birbaşa shell əmrinə ötürülür. Əgər bu dəyərlərdən hər hansı biri zərərli giriş məlumatları ehtiva edirsə, bu, sistemi əmr inyeksiyasına məruz qoyur. Bu zəiflik 0.31.1 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kubernetes-sigs headlamp | < 0.31.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.