Radisauskas Arnoldas

**Nome do Software Vulnerável e Versões Afetadas** Fleet versões anteriores a 0.12.15 Fleet versões anteriores a 0.13.11 Fleet versões anteriores a 0.14.6 Fleet versões anteriores a 0.15.2 **Description** O Fleet encaminha credenciais de autenticação do Helm (`BasicAuth`) para qualquer URL especificada no campo `helm.repo` de um arquivo `fleet.yaml` quando o campo `helmRepoURLRegex` não está configurado em um recurso `GitRepo`. Um invasor com acesso de push git a um repositório monitorado pode especificar uma URL maliciosa em `helm.repo`, fazendo com que o controlador do Fleet envie o nome de usuário e a senha configurados do repositório Helm para o servidor do invasor. **Recommendations** Atualize para as versões 0.12.15, 0.13.11, 0.14.6 ou 0.15.2 do Fleet. Como solução temporária, configure o `helmRepoURLRegex` em todos os recursos `GitRepo` que utilizam `helmSecretName` para garantir que a expressão regular corresponda apenas a URLs legítimas de repositórios Helm. Revise o sistema em busca de credenciais potencialmente vazadas e substitua quaisquer credenciais comprometidas.

**Nome do Software Vulnerável e Versões Afetadas** Rancher Fleet (versões afetadas não especificadas) **Description** Existe uma falha de bypass de autenticação no componente de webhook. Além disso, é possível realizar um bypass do Pod Security Standard (PSS) através da manipulação de labels de namespace. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** SUSE Rancher Fleet versões anteriores a 0.15.2 SUSE Rancher Fleet versões anteriores a 0.14.6 SUSE Rancher Fleet versões anteriores a 0.13.11 SUSE Rancher Fleet versões anteriores a 0.12.15 **Description** A falta de validação de referências `valuesFrom` no Helm Deployer permite que locatários em ambientes multi-tenant ignorem restrições e acessem config maps ou secrets em todos os namespaces nos clusters downstream. Um invasor pode usar `valuesFrom` dentro de um `fleet.yaml` (através de um recurso `GitRepo`) ou de um recurso `HelmOp` para ler conteúdos de secrets, desde que conheça ou adivinhe o nome, namespace e chave. Além disso, usuários não autorizados podem criar recursos em todo o cluster usando `HelmOp` ou `Bundle` sem estarem restritos a uma conta de serviço específica para o agente Fleet. **Recommendations** Atualize o SUSE Rancher Fleet para a versão 0.15.2 ou posterior. Atualize o SUSE Rancher Fleet para a versão 0.14.6 ou posterior. Atualize o SUSE Rancher Fleet para a versão 0.13.11 ou posterior. Atualize o SUSE Rancher Fleet para a versão 0.12.15 ou posterior. Como medida paliativa temporária, certifique-se de que os locatários não tenham acesso compartilhado aos mesmos clusters downstream.

**Nome do Software Vulnerável e Versões Afetadas** Fleet versões anteriores a 0.15.2 Fleet versões anteriores a 0.14.6 Fleet versões anteriores a 0.13.11 Fleet versões anteriores a 0.12.15 **Description** Um problema ocorre quando o endpoint de webhook é configurado sem um segredo, permitindo que atacantes não autenticados forjem solicitações de webhook. A causa raiz é a autenticação e validação inadequadas das solicitações, combinadas com a injeção baseada em regex via componentes de URL e caminho de repositório não escapados. Um atacante pode enviar payloads manipulados para o endpoint de webhook sem a necessidade de conhecer o repositório ou caminho específico configurado no recurso GitRepo. Isso pode levar à clonagem contínua de repositórios, resultando em aumento do tráfego de rede e exaustão de recursos no cluster de gerenciamento, causando a negação de serviço. Além disso, se o atacante tiver acesso de leitura ao repositório Git de destino e conhecer seu caminho, poderá reverter serviços em execução para qualquer revisão histórica disponível no repositório remoto. **Recommendations** Atualize para a versão 0.15.2. Atualize para a versão 0.14.6. Atualize para a versão 0.13.11. Atualize para a versão 0.12.15. Como medida paliativa temporária, certifique-se de que os webhooks sejam habilitados apenas quando configurados com um segredo compartilhado.

**Nome do Software Vulnerável e Versões Afetadas** Rancher Manager versões anteriores a 2.14.2 **Descrição** Um problema de injeção de comando existe no endpoint de importação "/v3/import/{token} {clusterId}.yaml". Isso ocorre devido a parâmetros YAML não sanitizados, o que pode permitir que atacantes remotos saiam de uma imagem e executem containers maliciosos. **Recomendações** Atualize para a versão 2.14.2 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões do PlexTrac 1.61.3 a 2.8.1 **Descrição** O problema está relacionado à neutralização inadequada de elementos especiais usados em um comando N1QL, permitindo a injeção de N1QL. Esse problema pode ser explorado devido à falta de tratamento adequado dos elementos especiais nos comandos N1QL. **Recomendações** Para as versões 1.61.3 a 2.8.1 do PlexTrac, atualize para a versão 2.8.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos comandos N1QL para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões 1.61.3 a 2.8.1 do PlexTrac **Descrição** O problema está relacionado ao consumo descontrolado de recursos no PlexTrac, o que permite um ataque de negação de serviço (DoS) via WebSocket. Isso pode causar um esgotamento de recursos. **Recomendações** Para as versões do PlexTrac 1.61.3 a 2.8.1, atualize para a versão 2.8.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à funcionalidade WebSocket para minimizar o risco de exploração.