CVE-2022-29186

Rundeck; bir web konsolu, komut satırı araçları ve bir WebAPI içeren açık kaynaklı bir otomasyon servisidir. Rundeck community ve rundeck-enterprise docker imajları önceden oluşturulmuş bir SSH anahtar çifti içeriyordu. Anahtar çiftinin id_rsa.pub genel anahtarı uzak sunucudaki authorized_keys dosyalarına kopyalandıysa, bu sunucular açığa çıkmış özel kimlik bilgilerine sahip olan herkesin erişimine izin verecektir. Bu yanlış yapılandırma yalnızca PagerDuty® Process Automation On Prem (eski adıyla Rundeck) sürüm 4.0 ve öncesindeki Rundeck Docker örneklerini etkilemekte olup Debian, RPM veya .WAR sürümlerini etkilememektedir. Ek olarak, id_rsa.pub dosyasının Docker imajı dosya sistemi içeriğinden üzerine yazılmadan kopyalanmış olması ve bir sunucuda SSH erişimini yapılandırmak için kullanılmış olması gerekir. Rundeck'in `main` dalındaki bir yama, önceden oluşturulmuş SSH anahtar çiftini kaldırmıştır ancak yapılandırılmış olan açığa çıkmış anahtarları kaldırmaz. Yamalamak için kullanıcıların, ortamlarındaki sunucularda açığa çıkmış anahtarları aramak ve bunları döndürmek için bir betik çalıştırmaları gerekir. İki geçici çözüm mevcuttur: SSH erişimine izin vermek için rundeck docker imajlarından gelen mevcut herhangi bir genel anahtar dosyasını authorized_keys dosyalarına ekleyerek kullanmayın ve eğer docker imajında yer alan genel anahtar dosyasını kopyaladıysanız, bunu tüm authorized_keys dosyalarından kaldırın.