CVE-2025-59836
Açıklama
Omni; Kubernetes'i çıplak metal, sanal makineler veya bulut üzerinde yönetir. 1.1.5 ve 1.0.2 sürümlerinden önce, Omni Resource Service içerisinde bulunan bir nil pointer dereference zafiyeti, kimliği doğrulanmamış kullanıcıların API uç noktaları üzerinden boş kaynak oluşturma/güncelleme istekleri göndererek sunucu paniğine ve hizmet reddine (DoS) neden olmasına olanak tanır. Zafiyet, kaynağın metadata alanının nil olup olmadığını kontrol etmeden grpcomni.CreateResource fonksiyonunu çağıran isSensitiveSpec fonksiyonunda yer almaktadır. Bir kaynak boş Metadata alanı ile oluşturulduğunda, CreateResource fonksiyonu resource.Metadata.Version alanına erişmeye çalışarak bir segmentation fault hatasına yol açar. Bu zafiyet 1.1.5 ve 1.0.2 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- siderolabs omni1.0.2, 1.1.5 ya da sonraki bir sürüm
- github.com/siderolabs/omni1.1.5, 1.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| siderolabs omni | v < 1.0.2, 1.1.0 ≤ v < 1.1.5 | 1.0.2, 1.1.5 |
| github.com/siderolabs/omniGo | 1.1.0-beta.0 ≤ v < 1.1.5, v < 1.0.2 | 1.1.5, 1.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.