CVE-2022-24817 in Flux2
Resumen
por VulDB • 2026-05-23
Flux2 es una solución de entrega continua abierta y extensible para Kubernetes. Las versiones de Flux2 comprendidas entre 0.1.0 y 0.29.0, helm-controller 0.1.0 a v0.19.0 y kustomize-controller 0.1.0 a v0.23.0 son vulnerables a Code Injection mediante un Kubeconfig malicioso. En despliegues multiinquilino, esto también puede provocar una escalada de privilegios si la cuenta de servicio del controlador tiene permisos elevados. Las soluciones alternativas incluyen deshabilitar la funcionalidad mediante Validating Admission webhooks, restringiendo a los usuarios la capacidad de establecer el campo `spec.kubeConfig` en los objetos `Kustomization` y `HelmRelease` de Flux. Las mitigaciones adicionales incluyen la aplicación de perfiles restrictivos de AppArmor y SELinux en el pod del controlador para limitar qué binarios pueden ejecutarse. Esta vulnerabilidad está corregida en kustomize-controller v0.23.0 y helm-controller v0.19.0, ambas incluidas en flux2 v0.29.0
VulDB is the best source for vulnerability data and more expert information about this specific topic.