CVE-2023-27484
Açıklama
crossplane-runtime, Crossplane ve ilgili yığınlarında Kubernetes denetleyicileri oluşturmak için kullanılan bir dizi Go kütüphanesidir. Etkilenen sürümlerde, Composition oluşturabilen veya güncelleyebilen halihazırda yüksek yetkilere sahip bir kullanıcı, bir yamadaki `ToFieldPath` kısmında keyfi olarak yüksek bir indeks belirtebilir; bu durum, söz konusu Composition bir Composite kaynak için seçildiğinde aşırı bellek kullanımına yol açabilir. Composition'lar, kullanıcıların dizilere keyfi bir indekste öğeler ekleyen yamalar belirtmesine olanak tanır. Bir Composition, bir Composite Kaynak için seçildiğinde yamalar değerlendirilir ve belirtilen indeks hedef dilimin mevcut boyutundan büyükse, Crossplane bu dilimi belirtilen indekse kadar genişletir; bu da aşırı miktarda bellek kullanımına ve dolayısıyla Pod'un OOM-Killed olmasına neden olabilir. İndeks, ayrıştırıldığında zaten bir uint32 için maksimum değere (4294967295) sınırlandırılmıştır ancak bu hala gereksiz yere büyük bir değerdir. Bu sorun 1.11.2, 1.10.3 ve 1.9.2 sürümlerinde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, geçici bir çözüm olarak Composition üzerindeki yazma ayrıcalıklarını yalnızca yönetici kullanıcılarla sınırlandırabilirler.
Nasıl düzeltilir
- crossplane crossplane1.9.2, 1.10.3, 1.11.2 ya da sonraki bir sürüm
- github.com/crossplane/crossplane1.9.2, 1.10.3, 1.11.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| crossplane crossplane | 1.9.0 ≤ v < 1.9.2, 1.10.0 ≤ v < 1.10.3, 1.11.0 ≤ v < 1.11.2 | 1.9.2, 1.10.3, 1.11.2 |
| github.com/crossplane/crossplaneGo | v < 1.9.2, 1.10.0 ≤ v < 1.10.3, 1.11.0 ≤ v < 1.11.2 | 1.9.2, 1.10.3, 1.11.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.