CVE-2026-47190
Açıklama
IPAM, Cluster API Provider Metal3 için IP adres yöneticisidir. 1.11.7, 1.12.4 ve 1.13.0 sürümlerinden önce, IPAM denetleyicisinin ClusterRole bileşeni, core/v1 Secrets üzerinde tam CRUD izinleri (oluşturma, silme, getirme, listeleme, yamalama, güncelleme, izleme) sağlıyordu. Denetleyici, normal çalışma sırasında Secret'lara hiçbir zaman erişmez. Eğer denetleyici pod'u ele geçirilirse (örneğin tedarik zinciri saldırısı veya konteynerden kaçış yoluyla), bir saldırgan bu aşırı izinleri kullanarak isim alanındaki Secret'ları okuyabilir, değiştirebilir veya silebilir; bu da kimlik bilgilerinin ve diğer hassas verilerin açığa çıkmasına neden olabilir. Bu sorun 1.11.7, 1.12.4 ve 1.13.0 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- metal3 ip-address-manager1.11.7, 1.12.4 ya da sonraki bir sürüm
- github.com/metal3-io/ip-address-manager1.11.7, 1.12.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| metal3 ip-address-manager | 1.11.0 ≤ v < 1.11.7, 1.12.0 ≤ v < 1.12.4, 1.13.0 | 1.11.7, 1.12.4 |
| github.com/metal3-io/ip-address-managerGo | v < 1.11.7, 1.12.0 ≤ v < 1.12.4 | 1.11.7, 1.12.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.