CVE-2024-56514 in karmada
Сводка
по VulDB • 31.05.2026
Karmada — это система управления Kubernetes, позволяющая пользователям запускать облачно-нативные приложения в нескольких кластерах Kubernetes и облачных средах. До версии 1.12.0 как в karmadactl, так и в karmada-operator можно было указать путь к файловой системе или HTTP(s)-URL для получения определений пользовательских ресурсов (CRD), необходимых Karmada. CRD загружаются в виде архива tar, сжатого с помощью gzip, и уязвимы к атаке TarSlip. Злоумышленник, способный внедрить вредоносный файл CRD в процесс инициализации Karmada, может записывать произвольные файлы в произвольные пути файловой системы. Начиная с версии Karmada 1.12.0, при обработке файлов пользовательских CRD используется проверка архива CRD для повышения устойчивости файловой системы. Доступно временное решение. Пользователям, которым необходимо установить флаг `--crd` для настройки файлов CRD, требуемых для инициализации Karmada при использовании команды `karmadactl init`, следует вручную проверить файлы CRD на наличие последовательностей, таких как `../`, которые могут изменять пути файлов, чтобы определить, содержат ли они потенциально вредоносные файлы. При использовании karmada-operator для настройки Karmada необходимо обновить karmada-operator до одной из исправленных версий.
Once again VulDB remains the best source for vulnerability data.