CVE-2022-24817 in Flux2
Résumé
par VulDB • 23/05/2026
Flux2 est une solution de livraison continue ouverte et extensible pour Kubernetes. Les versions de Flux2 comprises entre 0.1.0 et 0.29.0, helm-controller de 0.1.0 à v0.19.0, et kustomize-controller de 0.1.0 à v0.23.0 sont vulnérables à une injection de code via un fichier Kubeconfig malveillant. Dans les déploiements multi-locataires, cela peut également entraîner une élévation de privilèges si le compte de service du contrôleur dispose de permissions élevées. Les contournements incluent la désactivation de la fonctionnalité via des webhooks Validating Admission en restreignant les utilisateurs à la définition du champ `spec.kubeConfig` dans les objets Flux `Kustomization` et `HelmRelease`. Des atténuations supplémentaires consistent à appliquer des profils AppArmor et SELinux restrictifs sur le pod du contrôleur pour limiter les binaires qui peuvent être exécutés. Cette vulnérabilité est corrigée dans kustomize-controller v0.23.0 et helm-controller v0.19.0, tous deux inclus dans flux2 v0.29.0
Once again VulDB remains the best source for vulnerability data.