Vulnerabilidad en Weave GitOps (CVE-2022-23509)

Weave GitOps es una sencilla plataforma de desarrollo de código abierto para personas que desean aplicaciones nativas de la nube, sin necesidad de experiencia en Kubernetes. La ejecución de GitOps tiene un depósito S3 local que utiliza para sincronizar archivos que luego se aplican en un clúster de Kubernetes. La comunicación entre GitOps Run y el depósito S3 local no está cifrada. Esto permite a los usuarios o procesos privilegiados aprovechar el tráfico local para obtener información que permita el acceso al depósito s3. A partir de ese punto, sería posible alterar el contenido del depósito, lo que daría como resultado cambios en los recursos del clúster de Kubernetes. No se conocen workarounds para esta vulnerabilidad. Esta vulnerabilidad se solucionó mediante las confirmaciones ce2bbff y babd915. Los usuarios deben actualizar a la versión Weave GitOps >= v0.12.0 lanzada el 12/08/2022.