PT-2025-1149
CVE-2024-56514
·
تاريخ النشر
2025-01-03
·
تاريخ التحديث
2025-01-10
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Karmada الأقدم من 1.12.0
الوصف
Karmada هو نظام لإدارة Kubernetes يتيح للمستخدمين تشغيل تطبيقات سحابية أصلية عبر عدة مجموعات وسحابات Kubernetes. هذا النظام معرض لثغرة أمنية من نوع TarSlip، والتي تسمح للمهاجم بتسجيل ملفات عشوائية في مسارات عشوائية في نظام الملفات من خلال توفير ملف تعريف مورد مخصص (CRD) ضار أثناء تشغيل Karmada. ويمكن القيام بذلك عن طريق توفير مسار في نظام الملفات أو عنوان URL HTTP(s) لاسترداد ملفات CRD اللازمة لـ Karmada. يتم تنزيل ملفات CRD كملف tar مضغوط بـ gz، ويمكن للمهاجم استغلال هذه الثغرة لتغيير مسارات الملفات. بدءًا من الإصدار 1.12.0 من Karmada، يتم استخدام التحقق من ملفات CRD لتحسين متانة نظام الملفات.
التوصيات
بالنسبة للإصدارات الأقدم من 1.12.0، عند استخدام
karmadactl init لتكوين Karmada، قم بفحص ملفات CRD يدويًّا للتحقق من وجود تسلسلات مثل ../ التي من شأنها تغيير مسارات الملفات، وذلك لتحديد ما إذا كانت تحتوي على ملفات ضارة.عند استخدام karmada-operator لتكوين Karmada، قم بتحديث karmada-operator إلى إحدى الإصدارات التي تم إصلاحها، وهي الإصدار 1.12.0 أو ما بعده.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾