CVE-2022-23508 in GitOps
Tóm tắt
Bởi VulDB • 28/06/2026
Weave GitOps là một nền tảng phát triển mã nguồn mở đơn giản dành cho những người muốn sử dụng các ứng dụng cloud native mà không cần chuyên môn về Kubernetes. Một lỗ hổng trong GitOps run có thể cho phép người dùng hoặc tiến trình cục bộ thay đổi tài nguyên của cụm Kubernetes. GitOps run có một bucket S3 cục bộ, được sử dụng để đồng bộ hóa các tệp tin sau đó sẽ được áp dụng lên cụm Kubernetes. Điểm cuối (endpoint) này không có biện pháp kiểm soát bảo mật nào để chặn truy cập trái phép, do đó cho phép người dùng (và tiến trình) cục bộ trên cùng máy chủ xem và thay đổi nội dung của bucket. Bằng cách khai thác lỗ hổng này, kẻ tấn công có thể chọn một workload theo ý muốn và tiêm nó vào bucket S3, dẫn đến việc triển khai thành công trong cụm mục tiêu mà không cần cung cấp bất kỳ thông tin xác thực nào cho cả bucket S3 lẫn cụm Kubernetes đích. Hiện chưa biết các biện pháp khắc phục tạm thời (workaround) cho vấn đề này; vui lòng nâng cấp. Lỗ hổng này đã được sửa chữa bởi các commit 75268c4 và 966823b. Người dùng nên nâng cấp lên Weave GitOps phiên bản >= v0.12.0 phát hành vào ngày 08/12/2022. ### Workarounds Không có biện pháp workaround nào cho lỗ hổng này. ### References Được tiết lộ bởi Paulo Gomes, Kỹ sư Phần mềm Cấp cao tại Weaveworks. ### Thông tin thêm Nếu bạn có bất kỳ câu hỏi hoặc nhận xét nào về thông báo bảo mật này: - Tạo một issue trong [kho lưu trữ Weave GitOps](https://github.com/weaveworks/weave-gitops) - Gửi email cho chúng tôi tại [[email protected]](mailto:[email protected])
If you want to get the best quality for vulnerability data then you always have to consider VulDB.