PT-2025-11560
CVE-2025-29781
·
تاريخ النشر
2025-03-17
·
تاريخ التحديث
2025-03-19
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Bare Metal Operator الأقدم من 0.8.1
إصدارات Bare Metal Operator الأقدم من 0.9.1
الوصف
تسمح هذه الثغرة الأمنية لمهاجم يتمتع بامتيازات على مستوى مساحة الاسم بإنشاء
BMCEventSubscription وتحميل الأسرار من مساحات أسماء غير مصرح بها، مما يؤدي إلى تسرب الأسرار. ويحدث ذلك بسبب قدرة Bare Metal Operator على تحميل الأسرار من مساحات أسماء عشوائية أثناء نشر المورد المخصص ذي نطاق مساحة الاسم BMCEventSubscription. يتم حل المشكلة بجعل Bare Metal Operator يرفض قراءة الأسرار من مساحات أسماء مختلفة عن تلك التي يوجد فيها المورد BMH المقابل.التوصيات
بالنسبة للإصدارات الأقدم من 0.8.1 و0.9.1، قم بالتحديث إلى الإصدار المُصحح من BMO. قبل التحديث، قم بنسخ أي سر موجود يشير إليه
httpHeadersRef الخاص بـ BMCEventSubscription إلى نفس مساحة الأسماء التي يوجد فيها BMH المقابل. بعد التحديث، قم بإزالة الأسرار القديمة.كحل بديل مؤقت، ضع في اعتبارك تكوين RBAC الخاص بـ BMO ليكون نطاقه على مستوى مساحة الاسم بدلاً من نطاق المجموعة لمنع BMO من الوصول إلى الأسرار الموجودة في مساحات الأسماء الأخرى.
أو بدلاً من ذلك، استخدم خيار التكوين
WATCH NAMESPACE لتقييد BMO بمساحة اسم واحدة فقط. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾