Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Kubernetes Image Builder opravuje dve zraniteľnosti
Kubernetes Image Builder v0.1.38 opravuje dve zraniteľnosti, z ktorých prvá je hodnotená ako kritická [1]. Druhá, obdobná zraniteľnosť [2], získala nižšie CVSS skóre vzhľadom na ťažšiu zneužiteľnosť.
Neautentizovanému vzdialenému útočníkovi je umožnené získať prístup roota na uzloch využívajúcich obrazy virtuálnych počítačov zostavené pomocou poskytovateľa Proxmox, pretože predvolené prihlasovacie údaje povolené počas procesu vytvárania obrazu nie sú deaktivované [1][3].
Zraniteľnosť sa nachádza v produkte:
- Kubernetes Image Builder; <=0.1.37
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-9486 na cve.org, NVD
- CWE-1392: Use of Default Credentials na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 11. 10. 2024.
Autentizovanému útočníkovi v lokálnej sieti je umožnené získať prístup roota na uzloch využívajúcich obrazy virtuálnych počítačov zostavené pomocou poskytovateľov Nutanix, OVA, QEMU alebo raw, pretože počas procesu zostavovania obrazu sú povolené predvolené prihlasovacie údaje. Tieto prihlasovacie údaje sú deaktivované na konci procesu vytvárania obrazu [2][4].
Zraniteľnosť sa nachádza v produkte:
- Kubernetes Image Builder; <=0.1.37
CVSS: CVSS:3.1/AV:A/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-9594 na cve.org, NVD
- CWE-1392: Use of Default Credentials na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 11. 10. 2024.
Odkazy
- [1] https://github.com/kubernetes/kubernetes/issues/128006
- [2] https://github.com/kubernetes/kubernetes/issues/128007
- [3] https://github.com/kubernetes-sigs/image-builder/pull/1595/commits/f4fb7c1ae05bdb683b30bd47f6c8ab2c9f1dacb1
- [4] https://github.com/kubernetes-sigs/image-builder/pull/1596/commits/85ded65ae8dcbdcf922a1b43d8b0c0a838c7ad80
Za CESNET, z.s.p.o. Michaela Jarošová dňa 15. 10. 2024.