CVE-2022-23551
Açıklama
Azure Active Directory kimliklerini Kubernetes uygulamalarına atayan aad-pod-identity, 24 Ekim 2022 itibarıyla kullanımdan kaldırılmıştır. AAD Pod Identity içindeki NMI bileşeni, token isteklerini regex tabanlı olarak yakalar ve doğrular. Bu durumda, isteğin içinde ters eğik çizgi içeren bir token isteği (örnek: `/metadata/identity\oauth2\token/`), NMI doğrulamasını atlayarak IMDS'ye gönderilir ve bu durum kümedeki bir podun erişmemesi gereken kimliklere erişmesine olanak tanır. Bu sorun giderilmiş ve AAD Pod Identity sürüm 1.8.13 ile yayınlanmıştır. AKS pod-managed identities eklentisi kullanılıyorsa herhangi bir işlem yapılmasına gerek yoktur. Kümelerin şu anda 1.8.13 sürümünü çalıştırıyor olması gerekir.
Nasıl düzeltilir
- microsoft azure_ad_pod_identity1.8.13 ya da sonraki bir sürüm
- github.com/Azure/aad-pod-identity1.8.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| microsoft azure_ad_pod_identity | v < 1.8.13 | 1.8.13 |
| github.com/Azure/aad-pod-identityGo | v < 1.8.13 | 1.8.13 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.