CVE-2022-1708
Açıklama
Kube API erişimi olan herhangi bir kullanıcının düğüm üzerinde bellek veya disk alanı tükenmesine neden olan bir zafiyet CRI-O içerisinde tespit edilmiştir. ExecSync isteği, bir konteyner içinde komutlar çalıştırır ve komutun çıktısını günlüğe kaydeder. Bu çıktı daha sonra komut yürütülmesinin ardından CRI-O tarafından okunur ve okuma işlemi, komut çıktısına karşılık gelen dosyanın tamamının içeri alınacağı şekilde gerçekleştirilir. Bu nedenle, komut çıktısı büyükse, CRI-O komut çıktısını okuduğunda düğümün belleğinin veya disk alanının tükenmesi mümkündür. Bu zafiyetten kaynaklanan en yüksek tehdit sistem kullanılabilirliğidir.
Nasıl düzeltilir
- kubernetes cri-o1.19.7, 1.20.8, 1.21.8, 1.22.5, 1.23.3 ya da sonraki bir sürüm
- github.com/cri-o/cri-o1.24.1, 1.23.3, 1.22.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kubernetes cri-o | v < 1.19.7, 1.20.0 ≤ v < 1.20.8, 1.21.0 ≤ v < 1.21.8, 1.22.0 ≤ v < 1.22.5, 1.23.0 ≤ v < 1.23.3, 1.24.0 | 1.19.7, 1.20.8, 1.21.8, 1.22.5, 1.23.3 |
| fedoraproject fedora | 36 | — |
| redhat openshift_container_platform | 3.11, 4.0, 4.9, 4.10 | — |
| redhat enterprise_linux | 7.0, 8.0, 9.0 | — |
| github.com/cri-o/cri-oGo | 1.24.0 ≤ v < 1.24.1, 1.23.0 ≤ v < 1.23.3, v < 1.22.5 | 1.24.1, 1.23.3, 1.22.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.