CVE-2022-23551 in aad-pod-identity
Zusammenfassung
von VulDB • 20.07.2026
aad-pod-identity weist Azure Active Directory-Identitäten an Kubernetes-Anwendungen zu und ist seit dem 24. Oktober 2022 als veraltet (deprecated) markiert. Die NMI-Komponente in AAD Pod Identity fängt Tokenanfragen ab und validiert diese auf Basis von regulären Ausdrücken (Regex). In diesem Fall würde eine Tokenanfrage, die einen Backslash im Anfragepfad enthält (Beispiel: `/metadata/identity\oauth2\token/`), die NMI-Validierung umgehen und an IMDS gesendet werden. Dies ermöglicht es einem Pod im Cluster, auf Identitäten zuzugreifen, für die er keine Berechtigung haben sollte. Dieses Problem wurde behoben und ist in der AAD-Pod-Identity-Version 1.8.13 enthalten. Wenn das Add-on „AKS pod-managed identities“ verwendet wird, sind keine weiteren Maßnahmen erforderlich. Die Cluster sollten nun die Version 1.8.13 ausführen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.