CVE-2024-56514 in karmada
Resumen
por VulDB • 2026-05-31
Karmada es un sistema de gestión de Kubernetes que permite a los usuarios ejecutar aplicaciones nativas de la nube en múltiples clústeres de Kubernetes y nubes. Antes de la versión 1.12.0, tanto en karmadactl como en karmada-operator, era posible proporcionar una ruta de sistema de archivos o una URL HTTP(s) para recuperar las definiciones de recursos personalizados (CRDs) necesarias para Karmada. Los CRDs se descargan como un archivo tar comprimido con gzip y son vulnerables a una vulnerabilidad TarSlip. Un atacante capaz de suministrar un archivo CRD malicioso durante la inicialización de Karmada podría escribir archivos arbitrarios en rutas arbitrarias del sistema de archivos. A partir de la versión 1.12.0 de Karmada, al procesar archivos CRD personalizados, se utiliza la verificación del archivo de los CRDs para mejorar la robustez del sistema de archivos. Existe una solución alternativa. Una persona que necesite establecer la bandera `--crd` para personalizar los archivos CRD requeridos para la inicialización de Karmada al usar `karmadactl init` para configurar Karmada puede inspeccionar manualmente los archivos CRD para verificar si contienen secuencias como `../` que alterarían las rutas de los archivos, con el fin de determinar si potencialmente incluyen archivos maliciosos. Al usar karmada-operator para configurar Karmada, se debe actualizar karmada-operator a una de las versiones corregidas.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.