CVE-2024-56514 in karmada
要約
〜によって VulDB • 2026年05月31日
Karmadaは、複数のKubernetesクラスターやクラウド間でクラウドネイティブアプリケーションを実行できるようにするKubernetes管理システムです。バージョン1.12.0より前では、karmadactlおよびkarmada-operatorの両方で、Karmadaが必要とするカスタムリソース定義（CRD）を取得するためにファイルシステムパスまたはHTTP(s) URLを指定することが可能でした。CRDはgzip圧縮されたtarファイルとしてダウンロードされますが、TarSlip脆弱性の影響を受けました。悪意のあるCRDファイルをKarmadaの初期化プロセスに混入させる攻撃者は、ファイルシステムの任意のパスに任意のファイルを書き込むことができます。Karmadaバージョン1.12.0以降、カスタムCRDファイルを処理する際に、ファイルシステムの堅牢性を向上させるためにCRDアーカイブの検証が導入されました。回避策が利用可能です。`karmadactl init`を使用してKarmadaを設定する際に`--crd`フラグを設定してKarmadaの初期化に必要なCRDファイルをカスタマイズする必要がある場合は、CRDファイルを手動で検査し、`../`などのファイルパスを変更するシーケンスが含まれていないか、潜在的に悪意のあるファイルが含まれていないかを確認できます。karmada-operatorを使用してKarmadaを設定する場合は、karmada-operatorを修正されたバージョンのいずれかにアップグレードする必要があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.