Koreasecurity

**Nome do Software Vulnerável e Versões Afetadas** Velero versões anteriores a 1.18.1 **Description** Um invasor que obtenha controle do backend de armazenamento de objetos de backup pode fazer o upload de um arquivo tarball de backup malicioso. Este tarball pode conter caminhos de diretórios pai que permitem que os arquivos escapem do diretório de extração pretendido durante o processo de restauração, possibilitando a sobrescrita de arquivos sensíveis no sistema de arquivos do pod do Velero. **Recommendations** Atualize para a versão 1.18.1.

**Nome do Software Vulnerável e Versões Afetadas** Envoy versões anteriores a 1.35.11 Envoy versões anteriores a 1.36.7 Envoy versões anteriores a 1.37.3 Envoy versões anteriores a 1.38.1 **Description** O filtro HTTP OAuth2 utiliza AES-256-CBC em suas funções `encrypt()` e `decrypt()` sem uma tag de autenticação, como HMAC ou AEAD (Criptografia Autenticada com Dados Associados). Essa implementação permite que o endpoint `/callback` retorne respostas HTTP diferentes com base no sucesso da descriptografia (HTTP 302) ou falha de preenchimento (HTTP 401), criando um oráculo de preenchimento (padding oracle). Um invasor com acesso ao cookie `CodeVerifier` criptografado pode recuperar o `code verifier` PKCE em texto simples através de aproximadamente 6.200 requisições, que podem então ser usadas com um código de autorização roubado para obter o token de acesso da vítima. **Recommendations** Atualizar para a versão 1.35.11 Atualizar para a versão 1.36.7 Atualizar para a versão 1.37.3 Atualizar para a versão 1.38.1

**Nome do Software Vulnerável e Versões Afetadas** Kyverno versões anteriores a 1.18.0 Kyverno versões anteriores a 1.17.2 Kyverno versões anteriores a 1.16.4 **Descrição** O recurso `apiCall` no ClusterPolicy anexa automaticamente o token de ServiceAccount do controlador de admissão a requisições HTTP externas. Como a URL do serviço não possui validação, ela pode ser direcionada para servidores controlados por atacantes. Dado que o ServiceAccount do controlador de admissão possui permissões para alterar configurações de webhook, o roubo deste token pode levar ao comprometimento total do cluster. **Recomendações** Atualize para a versão 1.18.0 ou superior. Atualize para a versão 1.17.2 ou superior. Atualize para a versão 1.16.4 ou superior. Rotacione os tokens de ServiceAccount.

**Nome do Software Vulnerável e Versões Afetadas** Istio versões anteriores a 1.28.6 Istio versões anteriores a 1.29.2 **Descrição** Quando um recurso RequestAuthentication é criado com um `jwksUri` apontando para um serviço interno, o istiod realiza uma requisição HTTP GET não autenticada para essa URL sem filtrar endereços IP de localhost ou link-local. Esse comportamento pode resultar na distribuição de dados sensíveis para proxies Envoy via configuração xDS. **Recomendações** Atualizar para a versão 1.28.6. Atualizar para a versão 1.29.2. Implantar uma `ValidatingAdmissionPolicy` para impedir a criação de recursos RequestAuthentication com valores suspeitos no campo `jwksUri`, como localhost, 127.0.0.0/8, 169.254.0.0/16 e suas variantes IPv6.

**Name of the Vulnerable Software and Affected Versions** Podman versões 4.8.0 até 5.8.1 **Description** Um problema de injeção de comando existe no backend de máquina HyperV dentro do arquivo `pkg/machine/hyperv/stubber.go`. O caminho da imagem da VM é inserido em uma string de aspas duplas do PowerShell sem sanitização, o que permite a injeção de subexpressões `$()`. Como o PowerShell avalia subexpressões dentro de strings com aspas duplas antes de executar o comando externo, um invasor que controle o caminho da imagem da VM por meio de um nome de máquina ou diretório de imagem manipulado pode executar comandos PowerShell arbitrários. Isso ocorre com os privilégios do processo Podman, o que, em instalações típicas do Windows, resulta na execução de código em nível de SYSTEM. Este problema afeta exclusivamente o Windows. **Recommendations** Atualizar para a versão 5.8.2.

**Name of the Vulnerable Software and Affected Versions** MinIO versions RELEASE.2022-11-08T05-27-07Z through RELEASE.2026-03-17T21-25-16Z **Description** MinIO has a JWT algorithm confusion issue in its OpenID Connect authentication. An attacker who knows the OIDC `ClientSecret` can forge identity tokens and obtain S3 credentials with any policy, including `consoleAdmin`. This allows an attacker to impersonate any user identity, access, modify, or delete data within the MinIO deployment. The attack is deterministic and has a 100% success rate. The attacker must have access to the OIDC `ClientSecret`, which may be found in environment variables, frontend OAuth configurations, mobile app bundles, CI/CD pipelines, or shared configuration files. **Recommendations** Upgrade to MinIO AIStor RELEASE.2026-03-17T21-25-16Z or later. As a workaround, ensure the OIDC `ClientSecret` is treated as a highly sensitive credential and is not exposed to untrusted parties.

**Name of the Vulnerable Software and Affected Versions** Tekton Pipelines versions 1.0.0 through 1.10.0