CVE-2022-24877
Açıklama
Flux, Kubernetes için açık ve genişletilebilir bir sürekli teslimat çözümüdür. kustomize-controller bileşeninde, kötü amaçlı bir `kustomization.yaml` dosyası aracılığıyla gerçekleşen Path Traversal zafiyeti, bir saldırganın denetleyici pod dosya sistemindeki hassas verileri açığa çıkarmasına ve çok kiracılı dağıtımlarda muhtemelen yetki yükseltmesine olanak tanır. Geçici çözümler arasında, kullanıcının CI/CD hattındaki otomatik araçlar kullanılarak `kustomization.yaml` dosyalarının belirli politikalara uygunluğunun doğrulanması yer almaktadır. Bu zafiyet kustomize-controller v0.24.0 sürümünde düzeltilmiş ve flux2 v0.29.0 sürümüne dahil edilmiştir.
Nasıl düzeltilir
- fluxcd flux20.29.0 ya da sonraki bir sürüm
- fluxcd kustomize-controller0.24.0 ya da sonraki bir sürüm
- github.com/fluxcd/kustomize-controller0.24.0 ya da sonraki bir sürüm
- github.com/fluxcd/flux20.29.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fluxcd flux2 | v < 0.29.0 | 0.29.0 |
| fluxcd kustomize-controller | v < 0.24.0 | 0.24.0 |
| github.com/fluxcd/kustomize-controllerGo | v < 0.24.0 | 0.24.0 |
| github.com/fluxcd/flux2Go | v < 0.29.0 | 0.29.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.