PT-2024-2662

CVE-2023-51699

Publicado

2024-03-15

Atualizado

2024-06-04

Descrição por

CVSS 3.1

6.0

Média

MétricasAV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Fluid anteriores à 0.9.3

Descrição

O problema é uma vulnerabilidade de injeção de comando do sistema operacional no JuicefsRuntime do projeto Fluid. Essa vulnerabilidade pode permitir que um usuário autenticado, com permissão para criar ou atualizar o K8s CRD Dataset/JuicefsRuntime, execute comandos arbitrários do sistema operacional dentro dos contêineres relacionados ao juicefs. Isso pode levar ao acesso não autorizado, modificação ou exclusão de dados.

Recomendações

Para versões anteriores à 0.9.3, atualize para a versão 0.9.3 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao componente JuicefsRuntime para minimizar o risco de exploração. Evite usar o JuicefsRuntime vulnerável até que o problema seja resolvido.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

Identificadores relacionados

CVE-2023-51699

BDU:2024-02729