CVE-2022-23506 in Spinnaker
要約
〜によって VulDB • 2026年05月28日
Spinnakerは、ソフトウェア変更のリリースのためのオープンソースのマルチクラウド継続的デリバリープラットフォームであり、SpinnakerのRoscoマイクロサービスはマシンイメージを生成します。バージョン1.29.2、1.28.4、および1.27.3より前のRoscoでは、packerビルドを通じて生成されたシークレットが適切にマスクされません。これにより、packerログファイルに機密性の高いAWS認証情報が漏洩する可能性があります。Roscoのバージョン1.29.2、1.28.4、および1.27.3には、この問題に対する修正が含まれています。回避策が利用可能です。ロールの引き受けおよびIAMプロファイルを通じて短期間の認証情報を使用することをお勧めします。さらに、認証情報は、Roscoポッドのbake構成プロパティに設定するのではなく、Roscoポッドのボリュームマウントとして`/home/spinnaker/.aws/credentials`および`/home/spinnaker/.aws/config`に設定できます。最後に、これらの設定を行った場合でも、長期の認証情報ではなくIAMロールを使用することをお勧めします。これにより、認証情報の漏洩リスクが大幅に軽減されます。ユーザーが静的認証情報を使用している場合、AWSのbakeログを削除し、ログファイルやbakeジョブログにAWS_ACCESS_KEY、SECRET_KEY、および/またはその他の機密データが含まれていないかどうかを評価することをお勧めします。その後、これらの認証情報をローテーションし、それらの認証情報の不適切な使用の可能性を評価してください。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.