CVE-2023-22463
Açıklama
KubePi bir k8s panelidir. KubePi'nin 1.6.2 versiyonu dahil sürümlerindeki jwt kimlik doğrulama işlevi, sabit kodlanmış (hard-coded) Jwtsigkeys kullanmaktadır ve bu durum tüm çevrimiçi projeler için aynı Jwtsigkeys değerinin oluşmasına neden olmaktadır. Bu, bir saldırganın herhangi bir çevrimiçi projenin yönetici hesabını ele geçirmek için herhangi bir jwt belirteci (token) sahtesini oluşturabileceği anlamına gelir. Ayrıca, hedef işletmenin k8s kümesini ele geçirmek için yönetici hesabını kullanabilirler. `session.go` dosyasındaki sabit kodlanmış JwtSigKey kullanımı, bir saldırganın bu değeri kullanarak rastgele jwt belirteçleri oluşturmasına olanak tanır. JwtSigKey gizlidir ve kod içerisinde sabit olarak tanımlanmamalıdır. Zafiyet 1.6.3 sürümünde giderilmiştir. Yamada, JWT anahtarı app.yml içinde belirtilmektedir; kullanıcı burayı boş bıraktığında rastgele bir anahtar kullanılır. Güncelleme yapmak dışında bir çözüm yolu bulunmamaktadır.
Nasıl düzeltilir
- fit2cloud kubepi1.6.3 ya da sonraki bir sürüm
- github.com/KubeOperator/kubepi1.6.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fit2cloud kubepi | v < 1.6.3 | 1.6.3 |
| github.com/KubeOperator/kubepiGo | v < 1.6.3 | 1.6.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.