CVE-2022-24817 in Flux2
Sumário
de VulDB • 23/05/2026
Flux2 é uma solução de entrega contínua aberta e extensível para Kubernetes. As versões do Flux2 entre 0.1.0 e 0.29.0, helm-controller 0.1.0 a v0.19.0 e kustomize-controller 0.1.0 a v0.23.0 são vulneráveis a Code Injection via Kubeconfig malicioso. Em implantações multi-tenancy, isso também pode levar a privilege escalation se a service account do controlador tiver permissões elevadas. Workarounds incluem desativar a funcionalidade por meio de Validating Admission webhooks, restringindo os usuários de definir o campo `spec.kubeConfig` nos objetos Flux `Kustomization` e `HelmRelease`. Mitigações adicionais incluem a aplicação de perfis AppArmor e SELinux restritivos no pod do controlador para limitar quais binários podem ser executados. Esta vulnerabilidade foi corrigida no kustomize-controller v0.23.0 e helm-controller v0.19.0, ambos incluídos no flux2 v0.29.0
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.