CVE-2019-10223
Açıklama
kube-state-metrics v1.7.0 ve v1.7.1 sürümlerinde bir güvenlik sorunu tespit edilmiştir. v1.7.0 sürümüne, açıklamaların (annotations) metrikler olarak sunulmasını sağlayan deneysel bir özellik eklenmiştir. Varsayılan olarak kube-state-metrics metrikleri yalnızca Secret'lar hakkında meta verileri sunar. Ancak, varsayılan `kubectl` davranışı ile bu yeni özelliğin kombinasyonu, gizli içeriğin tamamının metrik etiketlerine girmesine neden olabilir ve böylece gizli içerik yanlışlıkla metriklerde ifşa edilebilir. Bu özellik geri alınmış ve v1.7.2 sürümüyle yayınlanmıştır. Eğer v1.7.0 veya v1.7.1 sürümünü kullanıyorsanız, lütfen mümkün olan en kısa sürede v1.7.2 sürümüne yükseltin.
Nasıl düzeltilir
- github.com/kubernetes/kube-state-metrics1.7.2 ya da sonraki bir sürüm
- k8s.io/kube-state-metrics1.7.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kubernetes kube-state-metrics | 1.7.0, 1.7.1 | — |
| redhat openshift_container_platform | 3.11, 4.1, 4.2 | — |
| github.com/kubernetes/kube-state-metricsGo | 1.7.0 ≤ v < 1.7.2 | 1.7.2 |
| k8s.io/kube-state-metricsGo | 1.7.0 ≤ v < 1.7.2 | 1.7.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.