Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la copia de varios archivos desde un pod remoto en las bibliotecas del cliente de Kubernetes Java (CVE-2020-8570)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
21/01/2021
Última modificación:
07/11/2023

Descripción

Las bibliotecas del cliente de Kubernetes Java en la versión 10.0.0 y las versiones anteriores a 9.0.1, permiten la escritura en rutas fuera del directorio actual cuando copia varios archivos desde un pod remoto que envía un archivo diseñado maliciosamente. Esto potencialmente puede sobrescribir cualquier archivo en el sistema del proceso que ejecuta el código del cliente

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:kubernetes:java:*:*:*:*:*:*:*:* 9.0.2 (excluyendo)
cpe:2.3:a:kubernetes:java:*:*:*:*:*:*:*:* 10.0.0 (incluyendo) 10.0.1 (excluyendo)