CVE-2021-4200

Versões do SUSE Rancher anteriores à 2.5.13

Versões do SUSE Rancher anteriores à 2.6.4

Uma vulnerabilidade no SUSE Rancher permite que qualquer usuário tenha acesso de gravação ao Catálogo quando a função restricted-admin está ativada. Este problema afeta clientes que utilizam a função restricted-admin no Rancher, a qual deve ser inicializada com a variável de ambiente CATTLE RESTRICTED DEFAULT ADMIN=true ou o sinalizador de configuração restrictedAdmin=true. A vulnerabilidade concede acesso de gravação a modelos (CatalogTemplates) e versões de modelos (CatalogTemplateVersions) para qualquer usuário com qualquer nível de acesso ao catálogo. Um usuário mal-intencionado poderia abusar dessa vulnerabilidade para modificar a visibilidade de aplicativos, alterar logotipos, fazer com que gráficos apareçam como gráficos confiáveis ou de parceiros, ou trocar versões de modelos. Essa vulnerabilidade não permite a modificação dos campos files codificados em base64 das templateVersions.

Para versões do SUSE Rancher anteriores à 2.5.13, atualize para a versão 2.5.13 ou posterior.

Para versões do SUSE Rancher anteriores à 2.6.4, atualize para a versão 2.6.4 ou posterior.

Como solução alternativa temporária, limite o acesso no Rancher a usuários confiáveis.

Se estiver usando restricted-admin como função de administrador padrão, verifique CatalogTemplates e CatalogTemplateVersions em busca de possíveis modificações maliciosas.