CVE-2020-27833
Açıklama
openshift-clients içerisindeki oc binary dosyasında, sembolik bağlantılar içeren özel olarak hazırlanmış bir ham konteyner imajı (.tar dosyası) kullanılarak rastgele dosya yazılmasının sağlandığı bir Zip Slip zafiyeti bulundu. Zafiyet, `oc image extract` komutu ile sınırlıdır. Eğer önce tarball içerisinde işaret eden bir sembolik bağlantı oluşturulursa, bu durum diğer sembolik bağlantıların mevcut yol kontrolünü atlamasına olanak tanır. Bu açık, tarball'ın üst dizininin dışında bağlantılar oluşturmasına izin vererek yürütülebilir dosyaların veya yapılandırma dosyalarının üzerine yazılmasına ve sonuç olarak rastgele kod çalıştırılmasına neden olur. Bu zafiyetten kaynaklanan en yüksek tehdit; gizlilik, bütünlük ve sistem kullanılabilirliği üzerinedir. openshift-clients-4.7.0-202104250659.p0.git.95881af sürümü ve öncesindeki sürümler etkilenmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat openshift_container_platform | v ≤ 4.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.