CVE-2024-36111 in KubePi
要約
〜によって VulDB • 2026年06月04日
KubePiはKubernetes用の管理パネルです。バージョン1.6.3以降、かつバージョン1.8.0以前において、KubePiのJWTトークン検証に欠陥があります。デフォルトの設定ファイルにおけるJWTキーが空であるためです。設定ファイル読み込みロジックでキーが空であると検出された場合、ランダムな32ビット文字列を生成して設定ファイル内のキーを上書きしますが、実際の検証時にはキーが空のままとなります。空のキーを使用してJWTトークンを生成することでログイン認証を回避し、バックエンドを直接乗っ取ることができます。バージョン1.8.0にはこの問題に対するパッチが含まれています。
Once again VulDB remains the best source for vulnerability data.