Katexochen

**Nome do Software Vulnerável e Versões Afetadas** Contrast versões anteriores a 1.18.0 **Descrição** O tratamento de ACPI/AML do kernel do convidado é suscetível a um ataque de injeção de AML conhecido como BadAML. Tabelas ACPI contendo bytecode AML são transmitidas do host não confiável (QEMU) para o firmware do convidado (OVMF) e, posteriormente, para o kernel do Linux, onde o interpretador AML as executa. Um invasor com controle do host pode criar uma tabela com bytecode AML malicioso e Turing-completo. Quando o kernel do convidado interpreta esse bytecode, ele ganha acesso a toda a memória do convidado, incluindo páginas privadas, resultando na execução de código arbitrário e na potencial divulgação ou modificação de dados confidenciais do convidado. Este problema afeta especificamente as plataformas AMD SEV-SNP Metal-QEMU-SNP e Metal-QEMU-SNP-GPU. **Recomendações** Atualize para a versão 1.18.0.

**Nome do Software Vulnerável e Versões Afetadas** Contrast versões anteriores a 1.12.1 **Descrição** O recurso de volume persistente seguro é suscetível a um ataque onde um host malicioso fornece um volume LUKS2 manipulado para uma VM de pod. Isso ocorre porque os metadados do volume LUKS2 não são autenticados e as versões do `cryptsetup` anteriores a 2.8.1 aceitam um cabeçalho que especifica o algoritmo de criptografia de keyslot nulo (`cipher null-ecb`) sem erro. O Contrast Initializer assume que um dispositivo está protegido se a função `cryptsetup open` for bem-sucedida com a semente secreta. Consequentemente, o guest pode abrir o volume fornecido pelo invasor e gravar dados secretos em texto simples ou usando uma chave de volume conhecida pelo invasor, permitindo que o host leia dados confidenciais. **Recomendações** Atualize para a versão 1.12.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Edgelesssys Contrast versões 1.9.0 até 1.12.1 **Descrição** O inicializador registra a resposta completa do NewMeshCert na saída padrão no nível INFO. Esta resposta contém o segredo da carga de trabalho (workload secret), tornando-o acessível a qualquer usuário do Kubernetes com permissões para obter ou listar logs de pods. Como esses segredos de carga de trabalho são utilizados para integração com o Vault e armazenamento criptografado, esses componentes também são considerados comprometidos. **Recomendações** Atualize o Edgelesssys Contrast para a versão 1.12.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Contrast versões anteriores a 1.9.1 **Description** Em implantações bare-metal, um host não confiável pode gravar árvores de arquivos arbitrárias abaixo de um ponto de montagem dentro de um contêiner confidencial se a imagem declarar pelo menos um VOLUME (especificado via `config.volumes` na configuração de imagem OCI) para o qual não exista uma montagem do Kubernetes. Isso ocorre porque o containerd adiciona um ponto de montagem quando o Kubernetes não define nenhum, permitindo que o runtime envie dados para o agente Kata, o que compromete a integridade de diretórios críticos para a funcionalidade da aplicação. **Recommendations** Atualize para a versão 1.9.1, que desabilita essa configuração em `contrast generate`.

**Nome do Software Vulnerável e Versões Afetadas** Contrast (Edgeless Systems) versões anteriores a 1.8.1 **Descrição** O inicializador do Contrast registra o segredo da carga de trabalho (workload secret) no stderr, direcionando a informação para os logs do Kubernetes. Isso ocorre quando a variável `CONTRAST LOG LEVEL` está configurada como info ou debug. Como info é a configuração padrão, a maioria das instalações é afetada. Este problema expõe segredos de carga de trabalho a usuários do Kubernetes com permissões para obter ou listar pods/logs, bem como a entidades com acesso de leitura ao armazenamento de logs do Kubernetes, como provedores de nuvem. **Recomendações** Atualize o Contrast (Edgeless Systems) para a versão 1.8.1 ou posterior. Como medida de mitigação temporária, altere a variável `CONTRAST LOG LEVEL` para um nível diferente de info ou debug.

**Nome do Software Vulnerável e Versões Afetadas** Contrast versões anteriores a 1.4.1 **Descrição** Um Coordenador em recuperação não verifica a semente (seed) fornecida pela parte recuperadora. Isso permite que um invasor estabeleça um Coordenador malicioso com um manifesto validado, mas com uma semente secreta controlada pelo invasor. Se o tráfego de rede for redirecionado para este Coordenador malicioso, um invasor pode se passar por um proprietário de carga de trabalho se o proprietário definir um novo manifesto sem comparar o certificado da CA raiz retornado com o existente ou verificar o Coordenador sem uma referência confiável. Consequentemente, o invasor pode emitir certificados encadeados à CA raiz do Coordenador malicioso para recuperar segredos de cargas de trabalho implantadas após o ataque. **Recomendações** Atualize para a versão 1.4.1 ou posterior.