La comunidad de Kubernetes descubrió recientemente la vulnerabilidad CVE-2022-3172. Los atacantes pueden usar un servidor de API agregado para redirigir el tráfico del cliente a una URL personalizada. Esto puede provocar una escalada de privilegios o la filtración de información confidencial.
CVE-2022-3172 tiene una clasificación de gravedad media. La puntuación del Common Vulnerability Scoring System (CVSS) de esta vulnerabilidad es 5.1.
Versiones afectadas
A continuación se listan las versiones de kube-apiserver afectadas:
v1.25.0
v1.24.0~v1.24.4
v1.23.0~v1.23.10
v1.22.0~v1.22.13
≤ V1.21
Esta vulnerabilidad se corrigió en las siguientes versiones de kube-apiserver:
v1.25.1
v1.24.5
v1.23.11
v1.22.14
Impactos
Los atacantes con permisos de lectura y escritura sobre objetos APIService pueden usar un servidor de API agregado para redirigir el tráfico del cliente a una URL personalizada. Esto puede provocar una escalada de privilegios o la filtración de información confidencial.
Mitigación
-
Asegúrese de que solo los usuarios de confianza tengan permisos de lectura y escritura sobre objetos
APIService. Esto evita que usuarios no autorizados desplieguen y controlen un servidor de API agregado mediante objetosAPIService.NotaNo existen medidas de mitigación disponibles para esta vulnerabilidad. Se recomienda no otorgar a usuarios no autorizados acceso a servidores de API agregados. No conceda permisos de lectura y escritura sobre objetos APIService a usuarios no autorizados.
Revise las notas de la versión de ACK y actualice su clúster para corregir esta vulnerabilidad lo antes posible.