CVE-2024-56514 in karmada
Résumé
par VulDB • 31/05/2026
Karmada est un système de gestion Kubernetes qui permet aux utilisateurs d'exécuter des applications cloud-native sur plusieurs clusters Kubernetes et clouds. Avant la version 1.12.0, tant dans karmadactl que dans karmada-operator, il est possible de fournir un chemin de système de fichiers ou une URL HTTP(s) pour récupérer les définitions de ressources personnalisées (CRDs) nécessaires à Karmada. Les CRDs sont téléchargés sous forme d'archive tar compressée avec gzip et sont vulnérables à une vulnérabilité TarSlip. Un attaquant capable de fournir un fichier CRD malveillant lors de l'initialisation de Karmada pourrait écrire des fichiers arbitraires dans des chemins arbitraires du système de fichiers. À partir de la version 1.12.0 de Karmada, lors du traitement des fichiers CRD personnalisés, une vérification de l'archive CRD est utilisée pour renforcer la robustesse du système de fichiers. Une solution de contournement est disponible. Une personne qui doit définir l'indicateur `--crd` pour personnaliser les fichiers CRD requis pour l'initialisation de Karmada lors de l'utilisation de `karmadactl init` pour configurer Karmada peut inspecter manuellement les fichiers CRD pour vérifier s'ils contiennent des séquences telles que `../` qui modifieraient les chemins de fichiers, afin de déterminer s'ils incluent potentiellement des fichiers malveillants. Lors de l'utilisation de karmada-operator pour configurer Karmada, il est nécessaire de mettre à niveau son karmada-operator vers l'une des versions corrigées.
If you want to get best quality of vulnerability data, you may have to visit VulDB.