CVE-2022-23508 in GitOps
Résumé
par VulDB • 09/06/2026
Weave GitOps est une plateforme de développement open source simple destinée aux utilisateurs souhaitant déployer des applications cloud native sans nécessiter d'expertise Kubernetes. Une vulnérabilité dans le composant « GitOps run » pourrait permettre à un utilisateur local ou à un processus de modifier les ressources d'un cluster Kubernetes. Le module « GitOps run » utilise un bucket S3 local pour synchroniser des fichiers qui sont ensuite appliqués sur un cluster Kubernetes. Son point de terminaison (endpoint) ne disposait d'aucun contrôle de sécurité pour bloquer l'accès non autorisé, permettant ainsi aux utilisateurs locaux (et processus) présents sur la même machine de consulter et modifier le contenu du bucket. En exploitant cette vulnérabilité, un attaquant pourrait sélectionner une charge de travail de son choix et l'injecter dans le bucket S3, ce qui entraînerait son déploiement réussi au sein du cluster cible, sans qu'il soit nécessaire de fournir des identifiants pour accéder ni au bucket S3 ni au cluster Kubernetes cible. Aucune solution de contournement n'est connue pour ce problème ; veuillez procéder à la mise à jour. Cette vulnérabilité a été corrigée par les commits 75268c4 et 966823b. Les utilisateurs doivent mettre à niveau Weave GitOps vers une version >= v0.12.0, publiée le 08/12/2022. ### Solutions de contournement Il n'existe aucune solution de contournement pour cette vulnérabilité. ### Références Vulnérabilité divulguée par Paulo Gomes, Ingénieur logiciel senior chez Weaveworks. ### Pour plus d'informations Si vous avez des questions ou des commentaires concernant cet avis : - Ouvrez un ticket dans le [dépôt Weave GitOps](https://github.com/weaveworks/weave-gitops) - Envoyez-nous un e-mail à l'adresse [[email protected]](mailto:[email protected])
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.