CVE-2022-23506 in Spinnaker
Riassunto
di VulDB • 16/06/2026
Spinnaker è una piattaforma open source di delivery continuo multi-cloud per il rilascio di modifiche al software e il microservizio Rosco di Spinnaker genera immagini macchina. Le versioni precedenti a 1.29.2, 1.28.4 e 1.27.3 di Rosco non mascherano correttamente i segreti generati tramite build con Packer. Ciò può portare all'esposizione di credenziali AWS sensibili nei file di log di Packer. Le versioni 1.29.2, 1.28.4 e 1.27.3 di Rosco contengono correzioni per questo problema. È disponibile una soluzione alternativa (workaround). Si consiglia l'uso di credenziali a breve durata tramite assunzione del ruolo e profili IAM. Inoltre, le credenziali possono essere impostate in `/home/spinnaker/.aws/credentials` e `/home/spinnaker/.aws/config` come volume montato per i pod Rosco invece che nelle proprietà di configurazione bake di Rosco. Infine, anche con queste misure si raccomanda l'uso dei ruoli IAM rispetto alle credenziali a lunga durata. Ciò mitiga drasticamente il rischio di esposizione delle credenziali. Se gli utenti hanno utilizzato credenziali statiche, si consiglia di eliminare tutti i log di bake per AWS, valutare se le chiavi `AWS_ACCESS_KEY`, `SECRET_KEY` e/o altri dati sensibili sono stati introdotti nei file di log o nei log dei job di bake. Quindi ruotare queste credenziali ed esaminare un eventuale uso improprio delle stesse.
If you want to get best quality of vulnerability data, you may have to visit VulDB.