CVE-2024-56514

Karmada, kullanıcıların bulut yerli uygulamaları birden fazla Kubernetes kümesi ve bulutu üzerinde çalıştırmasına olanak tanıyan bir Kubernetes yönetim sistemidir. Versiyon 1.12.0 öncesinde, hem karmadactl hem de karmada-operator içerisinde, Karmada tarafından ihtiyaç duyulan özel kaynak tanımlarının (CRD'ler) alınması için bir dosya sistemi yolu veya bir HTTP(s) URL'si sağlanması mümkündür. CRD'ler sıkıştırılmış bir tar dosyası olarak indirilir ve bir TarSlip zafiyetine karşı savunmasızdır. Bir Karmada başlatma işlemine kötü amaçlı bir CRD dosyası sağlayabilen bir saldırgan, dosya sisteminin rastgele yollarına rastgele dosyalar yazabilir. Karmada versiyon 1.12.0'dan itibaren, özel CRD dosyaları işlenirken dosya sistemi dayanıklılığını artırmak için CRD arşiv doğrulaması kullanılmaktadır. Geçici bir çözüm mevcuttur. Karmada kurulumu için `karmadactl init` kullanırken, Karmada başlatılması için gerekli CRD dosyalarını özelleştirmek amacıyla `--crd` bayrağını ayarlaması gereken kişiler, potansiyel olarak kötü amaçlı dosyalar içerip içermediklerini belirlemek için CRD dosyalarını manuel olarak inceleyerek dosya yollarını değiştirebilecek `../` gibi diziler içerip içermediğini kontrol edebilir. Karmada kurulumu için karmada-operator kullanılırken, karmada-operator düzeltilmiş versiyonlardan birine yükseltilmelidir.