J311Yl0V3U

O componente de autenticação BasicAuth da plataforma de orquestração de fluxo de trabalho Kestra OSS armazena senhas usando SHA-512, que possui alta velocidade de computação. Um invasor com acesso de leitura ao banco de dados PostgreSQL pode realizar um ataque de força bruta offline para recuperar a senha do administrador. Em implantações de Kubernetes, isso pode levar à escalada vertical de privilégios, permitindo que o invasor leia o ServiceAccount Token do cluster e todos os K8s Secrets.

Existe uma autorização incorreta na interface experimental `/v2`.

Uma falha de verificação de autorização na API DataSource permite que usuários não autenticados exponham metadados arbitrários de fontes de dados. Isso ocorre porque a API não exige login para acessar informações sensíveis de metadados.

Usuários autorizados em um namespace do Kubernetes podem criar um recurso de Build para controlar a geração de Pods em um namespace de sua escolha, incluindo o namespace do operador. Essa falha de cross-namespace permite que usuários sequestrem pods em namespaces seguros por meio de uma referência externamente controlada a um recurso em outra esfera e bypass de autorização via chave controlada pelo usuário.

Um usuário malicioso com permissões para editar o ConfigMap `local-path-config` no namespace `local-path-storage` pode manipular o template `helperPod.yaml`. Este template é usado para criar HelperPods durante as operações de provisionamento e limpeza de PVC, mas não é suficientemente validado antes do uso. Um invasor pode injetar campos sensíveis de segurança, como `securityContext.privileged`, volumes `hostPath` e capacidades do Linux no template. Quando uma operação de PVC dispara a criação de um HelperPod, o provisionador utiliza o template controlado pelo invasor, resultando potencialmente em um pod privilegiado executando no nó de destino com o sistema de arquivos raiz do host montado. Isso permite que o invasor acesse arquivos confidenciais do host, leia tokens de ServiceAccount de outros pods no mesmo nó, acesse dados de volume de local-path de outros locatários ou modifique arquivos no nó host.

Um problema de server-side request forgery (SSRF) existe no recurso APICall. O campo `URL` na configuração ServiceCall de uma Política não é validado, permitindo que um usuário com permissões de criação de Política em nível de namespace direcione o sistema a fazer requisições HTTP para recursos internos arbitrários, como endpoints de metadados de nuvem ou recursos de outros locatários. Trata-se de um problema de Confused Deputy, onde o sistema utiliza sua ServiceAccount de alta permissão em todo o cluster para executar as requisições. Consequentemente, dados sensíveis, incluindo credenciais de IAM de nuvem e segredos de outros locatários, podem ser retornados no PolicyReport e acessados pelo atacante, comprometendo o isolamento multi-tenant.

Kube-router's proxy module does not validate externalIPs or loadBalancer IPs before programming them into the node's network configuration. This impacts multi-tenant clusters where untrusted users have namespace-scoped permissions to create or modify Services. The `buildServicesInfo()` function copies IPs from `Service.spec.externalIPs` and `status.loadBalancer.ingress` without validating them against the `--service-external-ip-range` parameter. An attacker can bind arbitrary VIPs on all cluster nodes or cause denial of service to critical cluster services such as kube-dns. The `--service-external-ip-range` parameter is only used by the netpol module and is not checked by the proxy module. This allows attackers to potentially hijack traffic or disrupt DNS services. The vulnerability can be exploited by creating a Service with an externalIP matching the kube-dns ClusterIP, redirecting all DNS queries to attacker-controlled pods. The issue is not unique to kube-router, as the upstream Kubernetes project identified a similar issue as CVE-2020-8554.

O componente Shell Runtime do Nuclio contém um problema de injeção de comando. Quando uma função é invocada via HTTP, o runtime lê o cabeçalho `X-Nuclio-Arguments` e incorpora diretamente seu valor em comandos de shell sem validação ou sanitização. Isso permite que invasores com permissões de invocação de função injetem comandos maliciosos, potencialmente executando código arbitrário com privilégios de root em contêineres de função, roubando Tokens de ServiceAccount com permissões de nível cluster-admin e, finalmente, obtendo controle completo sobre o cluster Kubernetes. A vulnerabilidade decorre da falta de validação ao processar argumentos fornecidos pelo usuário na função `getCommandArguments` e da subsequente execução desses argumentos usando `sh -c`. Os invasores podem explorar isso criando payloads maliciosos no cabeçalho `X-Nuclio-Arguments`, aproveitando metacaracteres de shell como ponto e vírgula, pipes e crases para injetar comandos arbitrários. A vulnerabilidade afeta todas as versões que incluem o componente Shell Runtime. Uma exploração bem-sucedida pode levar ao comprometimento completo do cluster, incluindo violações de dados, ataques à cadeia de suprimentos e implantação de ransomware.