Ssst0N3

Existe um problema no componente de entrega de webhook que não valida adequadamente os endereços de destino, permitindo Server-Side Request Forgery (SSRF). SSRF é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido. Um usuário autenticado com permissões de ProjectAdmin pode configurar uma política de webhook apontando para intervalos de IP privados ou link-local. Quando ocorre um evento de projeto, o jobservice envia requisições HTTP POST externas não autenticadas para o destino especificado. Se o destino retornar um status de erro, o corpo da resposta é registrado no log de execução do webhook, que é acessível aos membros do projeto, podendo expor metadados de nuvem ou outros recursos restritos da rede.

Existe um erro de validação de entrada onde contêineres iniciados com uma diretiva `User` numérica que não pode ser analisada como um inteiro de 32 bits são incorretamente tratados como um nome de usuário. Se uma imagem manipulada fornecer um arquivo `/etc/passwd` que mapeie essa string numérica longa para o root, o contêiner será executado como root (UID 0). Isso permite que a restrição `runAsNonRoot` do Kubernetes seja ignorada, causando comportamento inesperado em ambientes que exigem que os contêineres sejam executados como um usuário não root.

The issue is related to the incorrect handling of symbolic links before accessing a file, which allows an attacker to access confidential data, compromise its integrity, and cause a denial of service. It was found that AppArmor can be bypassed when `/proc` inside the container is symlinked with a specific mount configuration.