Yuval Avrahami

Existe um problema de elevação de privilégio nos contêineres do Microsoft Azure Confidential Computing. Isso permite acesso e controle não autorizados dentro do ambiente do contêiner.

Uma expressão regular permissiva no Azure Compute Gallery pode permitir que um atacante autorizado eleve privilégios localmente.

Existe uma vulnerabilidade de injeção de comando no Azure Compute Gallery que poderia permitir que um atacante autorizado localmente eleve privilégios. A vulnerabilidade decorre da neutralização inadequada de elementos especiais utilizados em um comando. Uma vulnerabilidade relacionada no Microsoft ACI Confidential Containers envolve uma falha na sanitização de dados no nível de gerenciamento, possibilitando que um atacante eleve privilégios.

O problema está relacionado à falta de controle de acesso na implantação e no gerenciamento de contêineres confidenciais no Azure Kubernetes Service, o que pode ser explorado por um invasor remoto para elevar seus privilégios. Isso poderia permitir que invasores não autenticados obtivessem controle total dos clusters do Azure Kubernetes, incluindo o roubo de credenciais.

O problema está relacionado a controles de acesso insuficientes na implantação e no gerenciamento de contêineres confidenciais no Azure Kubernetes Service. A exploração dessa vulnerabilidade pode permitir que um invasor remoto eleve seus privilégios.

O problema está relacionado à validação insuficiente de entradas no software de implantação e gerenciamento do Azure Kubernetes Service Confidential Containers. Isso pode ser explorado por um invasor remoto para executar código arbitrário.

O problema está relacionado a controles de acesso insuficientes na implantação e no gerenciamento de contêineres confidenciais no Microsoft Azure Kubernetes Service. Isso pode permitir que um invasor remoto eleve seus privilégios.

Um bug no servidor da API do Kubernetes permite contornar a validação dos endereços de proxy dos nós. Isso poderia permitir que um invasor enviasse solicitações autenticadas para a rede privada do servidor da API, potencialmente concedendo acesso a pontos de extremidade seguros na rede do plano de controle. Os clusters do Kubernetes só são afetados se um usuário não confiável puder modificar objetos Node e enviar solicitações de proxy para eles. O problema está relacionado ao recurso de proxy de nós, que permite que clientes acessem pontos de extremidade do Kubelet, estabeleçam conexões com Pods e recuperem logs de contêineres.

O problema está relacionado à validação insuficiente no recurso de IP flutuante, o que pode permitir que um invasor com privilégios defina uma anotação de IP flutuante em um pod, mesmo que o recurso não esteja habilitado. Isso poderia permitir que o invasor interceptasse e redirecionasse o tráfego para seu pod comprometido.

Uma falha de segurança nos componentes Kubelet e kube-proxy permite que hosts adjacentes acessem serviços TCP e UDP vinculados a 127.0.0.1 em execução no nó ou no namespace de rede do nó. Isso significa que serviços considerados acessíveis apenas por outros processos no mesmo host podem ser acessados por outros hosts na mesma LAN ou por contêineres no mesmo nó. Por exemplo, um serviço TCP em execução em um nó e escutando em 127.0.0.1:1234 poderia ser potencialmente acessível por outros hosts ou contêineres, representando um risco se o serviço não exigir autenticação adicional. Serviços exclusivamente IPv6 no localhost não são afetados por esta vulnerabilidade.

Foi encontrada uma falha potencial de negação de serviço na implementação do daemon do sistema de arquivos compartilhado virtio-fs. Esse problema ocorre quando um convidado abre o número máximo de descritores de arquivo no diretório compartilhado, permitindo que um usuário ou processo convidado cause uma negação de serviço no host. O virtio-fs foi projetado para compartilhar um diretório do sistema de arquivos do host com um convidado por meio de um dispositivo virtio-fs.

The issue allows a malicious client with the `clients.write` authority or scope to bypass restrictions and create clients with arbitrary scopes that the creator does not possess. This can lead to privilege escalation.

The issue concerns improper escaping in certain endpoints, allowing an authenticated malicious user with basic read privileges for one identity zone to extend those privileges to all other identity zones. This enables the malicious user to obtain private information on users, clients, and groups in all other identity zones.