CVE-2024-56514

Nome do Software Vulnerável e Versões Afetadas Versões do Karmada anteriores a 1.12.0

Descrição O Karmada é um sistema de gerenciamento Kubernetes que permite aos usuários executar aplicações nativas da nuvem em múltiplos clusters e nuvens Kubernetes. O sistema é vulnerável a uma vulnerabilidade TarSlip, que permite a um invasor gravar arquivos arbitrários em caminhos arbitrários do sistema de arquivos ao fornecer um arquivo de definição de recurso personalizado (CRD) malicioso durante a inicialização do Karmada. Isso pode ser feito fornecendo um caminho do sistema de arquivos ou uma URL HTTP(s) para recuperar os CRDs necessários ao Karmada. Os CRDs são baixados como um arquivo tar compactado com gz, e um invasor pode explorar essa vulnerabilidade para alterar caminhos de arquivos. A partir da versão 1.12.0 do Karmada, a verificação de arquivo dos CRDs é utilizada para melhorar a robustez do sistema de arquivos.

Recomendações Para versões anteriores a 1.12.0, ao usar karmadactl init para configurar o Karmada, inspecione manualmente os arquivos CRD para verificar sequências como ../ que alterariam caminhos de arquivos, para determinar se eles potencialmente incluem arquivos maliciosos. Ao usar o karmada-operator para configurar o Karmada, atualize o karmada-operator para uma das versões corrigidas, que é a versão 1.12.0 ou posterior.