D0Hy30N

Existe um problema no endpoint de proxy meta '/meta/proxy' do SUSE Rancher Manager. Este endpoint deve encaminhar solicitações apenas para destinos que constem em uma lista de permissões configurada. No entanto, a decisão da lista de permissões foi avaliada em um ponto onde não conseguia impedir o encaminhamento da solicitação, resultando no registro do destino rejeitado, mas permitindo que a solicitação fosse entregue ao transporte do proxy.

Um controle de acesso inadequado no plugin Kubernetes Service (CKS) permite a manipulação de clusters Kubernetes entre diferentes locatários (cross-tenant) durante a adição e remoção de nós.

Um método de API REST de atualização de Contexto de Parâmetros não aplica verificações de autorização em componentes que referenciam valores de parâmetros. Enquanto a autorização do framework era limitada a privilégios de leitura e gravação no próprio Contexto de Parâmetros, um usuário autenticado com permissão para modificar um Contexto de Parâmetros poderia alterar valores que afetam componentes aos quais ele não tem autorização de acesso. Em ambientes onde os valores de parâmetros contêm conteúdo de script executável, isso pode resultar na execução de código durante a validação automática de componentes, mesmo que o componente referenciado não seja iniciado. Este problema afeta especificamente implantações que utilizam políticas de autorização ao nível de componente e limita-se a componentes interrompidos.