CVE-2024-31463

Versões do Ironic-image anteriores à 24.1.1

A vulnerabilidade afeta o Ironic-image, uma implantação do OpenStack Ironic empacotada e configurada pelo Metal3, quando o modo de proxy reverso é ativado definindo a variável IRONIC REVERSE PROXY SETUP como true. Nesse modo, as credenciais básicas HTTP são validadas no lado do HTTPD em um contêiner separado, e não no próprio serviço Ironic, e o Ironic escuta na porta privada 6388 no localhost por padrão. Como resultado, qualquer Pod ou usuário Unix local no nó do plano de controle pode acessar a API do Ironic na porta privada sem autenticação. Um invasor com privilégios suficientes para iniciar um pod no plano de controle com rede de host pode acessar a API do Ironic e usá-la para modificar máquinas bare-metal, por exemplo, provisioná-las com uma nova imagem ou alterar suas configurações de BIOS.

Para versões anteriores à 24.1.1, atualize para a versão 24.1.1 para resolver o problema. Como solução alternativa temporária, considere desativar o modo de proxy reverso definindo a variável IRONIC REVERSE PROXY SETUP como false até que um patch esteja disponível. Restrinja o acesso à porta privada 6388 para minimizar o risco de exploração. Evite usar a variável IRONIC PRIVATE PORT sem definição ou definida com um valor numérico no modo de proxy reverso até que o problema seja resolvido.