A comunidade Kubernetes descobriu recentemente a vulnerabilidade CVE-2022-3172. Atacantes podem usar um servidor de API agregado para redirecionar o tráfego do cliente para uma URL personalizada. Isso pode resultar em escalonamento de privilégios ou vazamento de informações confidenciais.
A CVE-2022-3172 tem gravidade média. A pontuação desta vulnerabilidade no Common Vulnerability Scoring System (CVSS) é 5,1.
Versões afetadas
As seguintes versões do kube-apiserver são afetadas:
v1.25.0
v1.24.0~v1.24.4
v1.23.0~v1.23.10
v1.22.0~v1.22.13
≤ V1.21
Esta vulnerabilidade foi corrigida nas seguintes versões do kube-apiserver:
v1.25.1
v1.24.5
v1.23.11
v1.22.14
Impactos
Atacantes com permissões de leitura e escrita em objetos APIService podem usar um servidor de API agregado para redirecionar o tráfego do cliente para uma URL personalizada. Essa ação pode causar escalonamento de privilégios ou vazamento de informações confidenciais.
Mitigação
-
Garanta que apenas usuários confiáveis tenham permissões de leitura e escrita em objetos
APIService. Isso impede que usuários não confiáveis implantem e controlem um servidor de API agregado por meio de objetosAPIService.NotaNão há medidas de mitigação disponíveis para esta vulnerabilidade. Recomendamos não conceder acesso a servidores de API agregados a usuários não confiáveis. Não atribua permissões de leitura e escrita em objetos APIService a usuários não confiáveis.
Consulte as notas de versão do ACK e atualize seu cluster assim que possível para corrigir esta vulnerabilidade.