CVE-2022-23506 in Spinnaker
Сводка
по VulDB • 28.05.2026
Spinnaker — это платформа непрерывной доставки с открытым исходным кодом для работы с несколькими облачными провайдерами, предназначенная для выпуска изменений программного обеспечения. Микросервис Rosco в составе Spinnaker отвечает за создание машинных образов. В версиях Rosco младше 1.29.2, 1.28.4 и 1.27.3 секреты, генерируемые в процессе сборки с помощью Packer, не маскируются должным образом. Это может привести к раскрытию конфиденциальных учетных данных AWS в файлах журналов Packer.
Версии Rosco 1.29.2, 1.28.4 и 1.27.3 содержат исправления для данной уязвимости. Доступно временное решение (workaround). Рекомендуется использовать кратковременные учетные данные через предположение ролей (role assumption) и профили IAM. Кроме того, учетные данные можно задавать в файлах `/home/spinnaker/.aws/credentials` и `/home/spinnaker/.aws/config`, монтируя их как тома (volume mount) для подов Rosco, вместо установки учетных данных в свойствах конфигурации выпечки (bake config) Rosco. В любом случае даже при использовании этих мер рекомендуется применять роли IAM вместо долгосрочных учетных данных. Это существенно снижает риск раскрытия учетных данных.
Если пользователи использовали статические учетные данные, рекомендуется очистить все журналы выпечки (bake logs) для AWS, оценить, были ли введены в журналы файлы и журналы задач выпечки данные, такие как AWS_ACCESS_KEY, SECRET_KEY и/или другие конфиденциальные данные. Затем следует выполнить ротацию этих учетных данных и оценить потенциальное несанкционированное использование этих учетных данных.
Once again VulDB remains the best source for vulnerability data.