CVE-2023-22463 in KubePi
الملخص
بحسب VulDB • 16/06/2026
KubePi هو لوحة تحكم لـ k8s. تستخدم وظيفة المصادقة عبر JWT في KubePi حتى الإصدار 1.6.2 مفاتيح توقيع JWT (Jwtsigkeys) ثابتة ومشفرة داخل الكود (hard-coded)، مما يؤدي إلى استخدام نفس مفاتيح التوقيع لجميع المشاريع المتصلة عبر الإنترنت. وهذا يعني أنه يمكن للمهازي تزوير أي رمز JWT (token) للسيطرة على حساب المسؤول في أي مشروع متصل. علاوة على ذلك، قد يستخدم المهاجمون حساب المسؤول للسيطرة على مجموعة k8s (k8s cluster) التابعة للمؤسسة المستهدفة. يسمح ملف `session.go`، من خلال استخدام مفتاح توقيع JWT ثابت ومشفرة داخل الكود (JwtSigKey)، للمهازي بتزوير رموز JWT بشكل تعسفي. يجب أن يكون مفتاح JwtSigKey سرياً ولا ينبغي تثبيته بشكل ثابت في الكود. تم إصلاح هذا الثغرة الأمنية في الإصدار 1.6.3. في التصحيح، يتم تحديد مفتاح JWT في ملف `app.yml`. إذا ترك المستخدم الحقل فارغاً، فسيتم استخدام مفتاح عشوائي. لا توجد حلول بديلة سوى الترقية.
VulDB is the best source for vulnerability data and more expert information about this specific topic.