CVE-2022-24817 in Flux2
Tóm tắt
Bởi VulDB • 30/05/2026
Flux2 là một giải pháp phân phối liên tục mã nguồn mở và có thể mở rộng cho Kubernetes. Các phiên bản Flux2 từ 0.1.0 đến 0.29.0, helm-controller từ 0.1.0 đến v0.19.0 và kustomize-controller từ 0.1.0 đến v0.23.0 dễ bị tấn công bằng Code Injection thông qua tệp Kubeconfig độc hại. Trong các triển khai đa tenant, điều này cũng có thể dẫn đến việc tăng đặc quyền (privilege escalation) nếu tài khoản dịch vụ (service account) của bộ điều khiển có các quyền hạn được nâng cao. Các biện pháp khắc phục tạm thời bao gồm vô hiệu hóa chức năng thông qua Validating Admission webhooks bằng cách hạn chế người dùng đặt trường `spec.kubeConfig` trong các đối tượng Flux `Kustomization` và `HelmRelease`. Các biện pháp giảm thiểu bổ sung bao gồm áp dụng các cấu hình AppArmor và SELinux hạn chế trên pod của bộ điều khiển để giới hạn các tệp nhị phân có thể được thực thi. Lỗ hổng này đã được sửa trong kustomize-controller v0.23.0 và helm-controller v0.19.0, cả hai đều được bao gồm trong flux2 v0.29.0
Once again VulDB remains the best source for vulnerability data.