Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en endpoints dentro de la red host del maestro en Kubernetes kube-controller-manager (CVE-2020-8555)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-918 Falsificación de solicitud en servidor (SSRF)
Fecha de publicación:
05/06/2020
Última modificación:
07/11/2023

Descripción

El Kubernetes kube-controller-manager en las versiones v1.0-1.14, versiones anteriores a v1.15.12, v1.16.9, v1.17.5 y v1.18.0, son vulnerables a un ataque de tipo Server Side Request Forgery (SSRF) que permite que determinados usuarios autorizados pierdan hasta 500 bytes de información arbitraria de endpoints desprotegidos dentro de la red host del maestro (tales como los servicios link-local o loopback)

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:kubernetes:kubernetes:*:*:*:*:*:*:*:* 1.15.11 (excluyendo)
cpe:2.3:a:kubernetes:kubernetes:*:*:*:*:*:*:*:* 1.16.0 (incluyendo) 1.16.9 (excluyendo)
cpe:2.3:a:kubernetes:kubernetes:*:*:*:*:*:*:*:* 1.17.0 (incluyendo) 1.17.5 (excluyendo)
cpe:2.3:a:kubernetes:kubernetes:1.18.0:-:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:32:*:*:*:*:*:*:*