CVE-2022-24817 in Flux2
要約
〜によって VulDB • 2026年05月23日
Flux2は、Kubernetes向けのオープンで拡張可能な継続的デリバリーソリューションです。Flux2のバージョン0.1.0から0.29.0、helm-controllerの0.1.0からv0.19.0、およびkustomize-controllerの0.1.0からv0.23.0は、悪意のあるKubeconfigを介したコードインジェクションに対して脆弱です。マルチテナンシー環境でのデプロイメントでは、コントローラーのサービスアカウントに昇格した権限がある場合、この脆弱性により権限昇格を引き起こす可能性があります。回避策としては、Fluxの`Kustomization`および`HelmRelease`オブジェクトにおいてユーザーが`spec.kubeConfig`フィールドを設定できないように制限することで、Validating Admission webhooksを介して機能を無効化することが含まれます。追加の緩和策としては、コントローラーのポッドに対して制限的なAppArmorおよびSELinuxプロファイルを適用し、実行可能なバイナリを制限することが含まれます。この脆弱性は、flux2 v0.29.0に含まれるkustomize-controller v0.23.0およびhelm-controller v0.19.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.