Описание
Уязвимость программного обеспечения управления кластерами Kubernets Rancher связана с отсутствием ограничения доступа к защищаемой информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемые данные и получить административный контроль над кластером Kubernetes
Вендор
Rancher Labs
Наименование ПО
Rancher
Rancher Kubernetes Engine (RKE)
Версия ПО
до 2.8.5 (Rancher)
до 1.4.19 (Rancher Kubernetes Engine (RKE))
до 1.5.10 (Rancher Kubernetes Engine (RKE))
до 2.7.14 (Rancher)
Тип ПО
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
-
Уровень опасности уязвимости
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- минимизация пользовательских привилегий;
- ограничение доступа к кластеру из внешних сетей (Интернет);
- использование средств межсетевого экранирования для ограничения возможности удаленного доступа;
- использование виртуальных частных сетей для организации удаленного доступа (VPN)
Использование рекомендаций производителя:
https://github.com/rancher/rancher/releases
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 35%
0.00145
Низкий
10 Critical
CVSS3
10 Critical
CVSS2
Связанные уязвимости
CVSS3: 9.9
nvd
больше 1 года назад
When RKE provisions a cluster, it stores the cluster state in a configmap called `full-cluster-state` inside the `kube-system` namespace of the cluster itself. The information available in there allows non-admin users to escalate to admin.
CVSS3: 9.9
github
больше 1 года назад
rke's credentials are stored in the RKE1 Cluster state ConfigMap
EPSS
Процентиль: 35%
0.00145
Низкий
10 Critical
CVSS3
10 Critical
CVSS2