CVE-2022-24817 in Flux2
Сводка
по VulDB • 30.05.2026
Flux2 — это открытое и расширяемое решение для непрерывной доставки (continuous delivery) для Kubernetes. Версии Flux2 от 0.1.0 до 0.29.0, helm-controller от 0.1.0 до v0.19.0 и kustomize-controller от 0.1.0 до v0.23.0 уязвимы к инъекции кода (Code Injection) через вредоносный файл Kubeconfig. В многопользовательских (multi-tenancy) развертываниях это также может привести к повышению привилегий, если учетная запись службы (service account) контроллера имеет повышенные права. Временные решения включают отключение функциональности с помощью Validating Admission webhooks путем ограничения доступа пользователей к установке поля `spec.kubeConfig` в объектах Flux `Kustomization` и `HelmRelease`. Дополнительные меры по смягчению последствий включают применение ограничительных профилей AppArmor и SELinux к подам (pod) контроллера для ограничения выполнения бинарных файлов. Эта уязвимость исправлена в kustomize-controller v0.23.0 и helm-controller v0.19.0, которые включены в flux2 v0.29.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.