BDU:2022-06248

Опубликовано: 11 окт. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость программного средства подключения локальной инфраструктуры Azure Arc шлюза облачного хранилища Azure Stack Edge связана с ошибками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Вендор

Microsoft Corp

Наименование ПО

Azure Stack Edge

Azure Arc-enabled Kubernetes cluster

Версия ПО

- (Azure Stack Edge)

1.8.11 (Azure Arc-enabled Kubernetes cluster)

1.7.18 (Azure Arc-enabled Kubernetes cluster)

1.6.19 (Azure Arc-enabled Kubernetes cluster)

1.5.8 (Azure Arc-enabled Kubernetes cluster)

Тип ПО

ПО виртуализации/ПО виртуального программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования с целью ограничения доступа к облачной инфраструктуре;

- ограничение доступа к облачной инфраструктуре из общедоступных сетей (Интернет);

- применение механизма «белых» списков с целью ограничения доступа с внешних DNS-серверов.

Использование рекомендаций производителя:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-37968

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-37968

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-37968
CVE

EPSS

Процентиль: 88%

0.03676

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-37968

CVSS3: 10

nvd

больше 3 лет назад

Microsoft has identified a vulnerability affecting the cluster connect feature of Azure Arc-enabled Kubernetes clusters. This vulnerability could allow an unauthenticated user to elevate their privileges and potentially gain administrative control over the Kubernetes cluster. Additionally, because Azure Stack Edge allows customers to deploy Kubernetes workloads on their devices via Azure Arc, Azure Stack Edge devices are also vulnerable to this vulnerability.

CVE-2022-37968

CVSS3: 10

msrc

больше 3 лет назад

Azure Arc-enabled Kubernetes cluster Connect Elevation of Privilege Vulnerability

GHSA-9cqg-4xp4-h354

CVSS3: 10

github

больше 3 лет назад

Azure Arc-enabled Kubernetes cluster Connect Elevation of Privilege Vulnerability.

EPSS

Процентиль: 88%

0.03676

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2