BDU:2025-00077

Опубликовано: 03 янв. 2025

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Низкий

Описание

Уязвимость системы управления кластерами Kubernetes для запуска облачных приложения на нескольких кластерах Karmada связана с некорректным присваиванием привилегий. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Karmada

Версия ПО

до 1.12.0 (Karmada)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение возможности использования кластеров в режиме PULL, зарегистрированных с помощью команды karmadactl register для предотвращения попыток эксплуатации уязвимости;

- минимизация пользовательских привилегий;

- отключение/удаление неиспользуемых учётных записей пользователей;

- использование средств межсетевого экранирования для предотвращения попыток эксплуатации уязвимости;

- использование «белого» списка IP-адресов для ограничения доступа к уязвимым кластерам.

Использование рекомендаций производителя:

https://github.com/karmada-io/karmada/commit/2c82055c4c7f469411b1ba48c4dba4841df04831

https://github.com/karmada-io/karmada/pull/5793

https://github.com/karmada-io/karmada/security/advisories/GHSA-mg7w-c9x2-xh7r

https://karmada.io/docs/administrator/security/component-permission

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-56513
CVE

EPSS

Процентиль: 35%

0.00146

Низкий

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2024-56513

nvd

около 1 года назад

Karmada is a Kubernetes management system that allows users to run cloud-native applications across multiple Kubernetes clusters and clouds. Prior to version 1.12.0, the PULL mode clusters registered with the `karmadactl register` command have excessive privileges to access control plane resources. By abusing these permissions, an attacker able to authenticate as the karmada-agent to a karmada cluster would be able to obtain administrative privileges over the entire federation system including all registered member clusters. Since Karmada v1.12.0, command `karmadactl register` restricts the access permissions of pull mode member clusters to control plane resources. This way, an attacker able to authenticate as the karmada-agent cannot control other member clusters in Karmada. As a workaround, one may restrict the access permissions of pull mode member clusters to control plane resources according to Karmada Component Permissions Docs.

GHSA-mg7w-c9x2-xh7r

github

около 1 года назад

Karmada PULL Mode Cluster Privilege Escalation

SUSE-SU-2025:0060-1

suse-cvrf

около 1 года назад

Security update for govulncheck-vulndb

EPSS

Процентиль: 35%

0.00146

Низкий

8.8 High

CVSS3

9 Critical

CVSS2