Vulnerabilidad en el espacio de nombres (namespace) (CVE-2018-20321)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

10/04/2019

Última modificación:

13/04/2022

Descripción

Se descubrió un problema en Rancher versión 2 hasta 2.1.5. Cualquier miembro del proyecto con acceso al espacio de nombres predeterminado puede insertar la cuenta de servicio predeterminada de netes en un contenedor pod, y luego usar ese pod para ejecutar comandos administrativos privilegiados contra el clúster k8s. Esto podría mitigarse aislando el espacio de nombres predeterminado en un proyecto separado, donde solo los administradores del clúster pueden tener permisos de acceso. A partir del 20-12-2018, este error afectó a todos los clústeres creados o importados por Rancher.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.80

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:S/C:C/I:C/A:C CVSS v2.0 Severidad y Métricas:

Puntuación base: 9.00 ALTA
Vector: AV:N/AC:L/Au:S/C:C/I:C/A:C

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Completo
Impacto a la integridad (I): Completo
Impacto a la disponibilidad (A): Completo