Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Rancher opravuje vysoko závažnú zraniteľnosť
Rancher verziami 2.9.9, 2.10.5 a 2.11.1 opravuje vysoko závažnú zraniteľnosť [1].
Autentifikovanému vzdialenému útočníkovi s oprávnením vytvárať projekty v rámci jedného clustra je z dôvodu používania názvu projektu ako menného priestoru (namespace) bez ohľadu na cluster umožnené získať neoprávnený prístup k projektu s rovnakým názvom v inom clustri a eskalovať svoje oprávnenia. Ak nie je možná okamžitá aktualizácia na opravenú verziu, odporúča sa zabezpečiť, aby nebolo možné vytvárať projekty s rovnakým názvom naprieč clustrami, a skontrolovať, či k takejto kolízii už nedošlo. Na kontrolu lokálneho clustra je z pozície správcu možné spustiť príkaz: "kubectl get projects -A -o=custom-columns='NAME:metadata.name' | sort | uniq -c" [1].
Zraniteľnosť sa nachádza v produkte:
- *:Rancher;>=2.8.0,<2.9.9;>=2.10.0,<2.10.5;>=2.11.0,<2.11.1;
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-22031 na cve.org, NVD
- CWE-706: Use of Incorrectly-Resolved Name or Reference na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 25. 4. 2025.
Za CESNET, z.s.p.o. Michaela Ručková dňa 30. 4. 2025.