Vulnerabilidad en Kubernetes Image Builder (CVE-2024-9486)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-798 Credenciales embebidas en el software

Fecha de publicación:

15/10/2024

Última modificación:

08/11/2024

Descripción

Se descubrió un problema de seguridad en las versiones de Kubernetes Image Builder anteriores a la v0.1.37, donde las credenciales predeterminadas se habilitan durante el proceso de creación de imágenes. Las imágenes de máquinas virtuales creadas con el proveedor Proxmox no deshabilitan estas credenciales predeterminadas, y los nodos que usan las imágenes resultantes pueden ser accesibles a través de estas credenciales predeterminadas. Las credenciales se pueden usar para obtener acceso raíz. Los clústeres de Kubernetes solo se ven afectados si sus nodos usan imágenes de máquinas virtuales creadas a través del proyecto Image Builder con su proveedor Proxmox.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto