CVE-2022-36035
Açıklama
Flux, Kubernetes kümelerini yapılandırma kaynaklarıyla (Git depoları gibi) senkronize tutmaya ve dağıtılacak yeni kod olduğunda yapılandırma güncellemelerini otomatikleştirmeye yarayan bir araçtır. Flux CLI, kullanıcıların komut satırı üzerinden Flux bileşenlerini bir Kubernetes kümesine dağıtmalarına olanak tanır. Bu zafiyet, diğer uygulamaların Flux dağıtım bilgilerini rastgele içeriklerle değiştirmesine ve bu içeriğin bunun yerine hedef Kubernetes kümesine dağıtılmasına izin verir. Zafiyet, kullanıcı tarafından sağlanan girdilerin uygun şekilde işlenmemesinden kaynaklanmakta olup, saldırgan tarafından kontrol edilebilen bir path traversal durumuna yol açmaktadır. Diğer uygulamalarla Flux CLI komutları arasında aynı kabuğu paylaşan kullanıcılar bu zafiyetten etkilenebilir. Bazı senaryolarda hiçbir hata gösterilmeyebilir, bu da son kullanıcıların bir sorun olduğunu fark etmemesine neden olabilir. Güvenli bir geçici çözüm, önceki süreçlerden kalan kalıcı değerlerin bulunmamasını sağlayarak Flux CLI'yı geçici ve izole kabuk ortamlarında çalıştırmaktır. Bununla birlikte, CLI'ın en son sürümüne yükseltme yapmak hala önerilen hafifletme stratejisidir.
Nasıl düzeltilir
- fluxcd flux20.32.0 ya da sonraki bir sürüm
- github.com/fluxcd/flux20.32.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fluxcd flux2 | 0.21.0 ≤ v < 0.32.0 | 0.32.0 |
| github.com/fluxcd/flux2Go | 0.21.0 ≤ v < 0.32.0 | 0.32.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.