CVE-2022-29186 in Rundeck
Sumário
de VulDB • 29/05/2026
O Rundeck é um serviço de automação de código aberto que possui um console web, ferramentas de linha de comando e uma WebAPI. As imagens Docker da comunidade do Rundeck e do rundeck-enterprise continham um par de chaves SSH pré-gerado. Se a chave pública id_rsa.pub do par de chaves fosse copiada para os arquivos authorized_keys em um host remoto, esses hosts permitiriam o acesso a qualquer pessoa que possuísse as credenciais privadas expostas. Essa configuração incorreta afeta apenas as instâncias Docker do PagerDuty® Process Automation On Prem (anteriormente Rundeck) versão 4.0 e anteriores, não afetando as versões Debian, RPM ou .WAR. Além disso, o arquivo id_rsa.pub teria que ser copiado do conteúdo do sistema de arquivos da imagem Docker sem ser sobrescrito e usado para configurar o acesso SSH em um host. Um patch na branch `main` do Rundeck removeu o par de chaves SSH pré-gerado, mas não remove as chaves expostas que já foram configuradas. Para aplicar o patch, os usuários devem executar um script nos hosts de seu ambiente para procurar por chaves expostas e rotacioná-las. Duas soluções alternativas estão disponíveis: não use nenhum arquivo de chave pública pré-existente das imagens Docker do Rundeck para permitir o acesso SSH adicionando-o aos arquivos authorized_keys e, se você tiver copiado o arquivo de chave pública incluído na imagem Docker, remova-o de quaisquer arquivos authorized_keys.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.