Burgerdev

**Nome do Software Vulnerável e Versões Afetadas** Contrast versões 1.14.0 até 1.23.0 **Descrição** Políticas de tempo de execução são geradas de forma que falham em detectar todas as substituições de imagens de contêiner. Isso ocorre porque uma regra `allow storage` aceita entradas de armazenamento usando o driver `image guest pull` sem verificar o digest da imagem. Um invasor com acesso à API do agente Kata pode substituir a imagem de um contêiner por um payload de exploração, desde que a imagem substituída satisfaça as demais regras da política, comprometendo as garantias de integridade do contêiner confidencial. **Recomendações** Atualize o Contrast para a versão 1.23.1.

**Nome do Software Vulnerável e Versões Afetadas** Contrast versões anteriores a 1.9.1 **Description** Em implantações bare-metal, um host não confiável pode gravar árvores de arquivos arbitrárias abaixo de um ponto de montagem dentro de um contêiner confidencial se a imagem declarar pelo menos um VOLUME (especificado via `config.volumes` na configuração de imagem OCI) para o qual não exista uma montagem do Kubernetes. Isso ocorre porque o containerd adiciona um ponto de montagem quando o Kubernetes não define nenhum, permitindo que o runtime envie dados para o agente Kata, o que compromete a integridade de diretórios críticos para a funcionalidade da aplicação. **Recommendations** Atualize para a versão 1.9.1, que desabilita essa configuração em `contrast generate`.

**Nome do Software Vulnerável e Versões Afetadas** Contrast (Edgeless Systems) versões anteriores a 1.8.1 **Descrição** O inicializador do Contrast registra o segredo da carga de trabalho (workload secret) no stderr, direcionando a informação para os logs do Kubernetes. Isso ocorre quando a variável `CONTRAST LOG LEVEL` está configurada como info ou debug. Como info é a configuração padrão, a maioria das instalações é afetada. Este problema expõe segredos de carga de trabalho a usuários do Kubernetes com permissões para obter ou listar pods/logs, bem como a entidades com acesso de leitura ao armazenamento de logs do Kubernetes, como provedores de nuvem. **Recomendações** Atualize o Contrast (Edgeless Systems) para a versão 1.8.1 ou posterior. Como medida de mitigação temporária, altere a variável `CONTRAST LOG LEVEL` para um nível diferente de info ou debug.

**Nome do Software Vulnerável e Versões Afetadas** Contrast versões anteriores a 1.4.1 **Descrição** Um Coordenador em recuperação não verifica a semente (seed) fornecida pela parte recuperadora. Isso permite que um invasor estabeleça um Coordenador malicioso com um manifesto validado, mas com uma semente secreta controlada pelo invasor. Se o tráfego de rede for redirecionado para este Coordenador malicioso, um invasor pode se passar por um proprietário de carga de trabalho se o proprietário definir um novo manifesto sem comparar o certificado da CA raiz retornado com o existente ou verificar o Coordenador sem uma referência confiável. Consequentemente, o invasor pode emitir certificados encadeados à CA raiz do Coordenador malicioso para recuperar segredos de cargas de trabalho implantadas após o ataque. **Recomendações** Atualize para a versão 1.4.1 ou posterior.