CVE-2022-24817
Açıklama
Flux2, Kubernetes için açık ve genişletilebilir bir sürekli teslimat çözümüdür. Flux2 0.1.0 ile 0.29.0 arasındaki sürümler, helm-controller 0.1.0 ile v0.19.0 arası ve kustomize-controller 0.1.0 ile v0.23.0 arası sürümler, kötü amaçlı Kubeconfig aracılığıyla Kod Enjeksiyonuna karşı savunmasızdır. Çok kiracılı dağıtımlarda, kontrolcünün servis hesabının yüksek izinlere sahip olması durumunda bu durum yetki yükseltmeye de yol açabilir. Geçici çözümler arasında, kullanıcıların Flux `Kustomization` ve `HelmRelease` nesnelerinde `spec.kubeConfig` alanını ayarlamalarını kısıtlayarak Validating Admission webhook'ları üzerinden işlevselliğin devre dışı bırakılması yer alır. Ek hafifletme önlemleri, hangi ikili dosyaların çalıştırılabileceğini sınırlamak için kontrolcü pod'una kısıtlayıcı AppArmor ve SELinux profillerinin uygulanmasını içerir. Bu güvenlik açığı, her ikisi de flux2 v0.29.0 sürümünde yer alan kustomize-controller v0.23.0 ve helm-controller v0.19.0 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- fluxcd flux20.29.0 ya da sonraki bir sürüm
- fluxcd helm-controller0.19.0 ya da sonraki bir sürüm
- fluxcd kustomize-controller0.23.0 ya da sonraki bir sürüm
- github.com/fluxcd/flux20.29.0 ya da sonraki bir sürüm
- github.com/fluxcd/kustomize-controller0.23.0 ya da sonraki bir sürüm
- github.com/fluxcd/helm-controller0.19.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fluxcd flux2 | 0.1.0 ≤ v < 0.29.0 | 0.29.0 |
| fluxcd helm-controller | 0.2.0 ≤ v < 0.19.0 | 0.19.0 |
| fluxcd kustomize-controller | 0.1.0 ≤ v < 0.23.0 | 0.23.0 |
| github.com/fluxcd/flux2Go | 0.1.0 ≤ v < 0.29.0 | 0.29.0 |
| github.com/fluxcd/kustomize-controllerGo | 0.1.0 ≤ v < 0.23.0 | 0.23.0 |
| github.com/fluxcd/helm-controllerGo | 0.2.0 ≤ v < 0.19.0 | 0.19.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.