Vulnerabilidad en SSH/Telnet (CVE-2024-5651)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-94
Control incorrecto de generación de código (Inyección de código)
Fecha de publicación:
12/08/2024
Última modificación:
30/08/2024
Descripción
Se encontró una falla en los agentes de valla que dependen de SSH/Telnet. Esta vulnerabilidad puede permitir una primitiva de ejecución remota de código (RCE) al proporcionar un comando arbitrario para ejecutar en los argumentos --ssh-path/--telnet-path. Un usuario con pocos privilegios, por ejemplo, un usuario con acceso de desarrollador, puede crear un FenceAgentsRemediation especialmente manipulado para que un agente de valla admita argumentos --ssh-path/--telnet-path para ejecutar comandos arbitrarios en el módulo del operador. Este RCE conduce a una escalada de privilegios, primero como la cuenta de servicio que ejecuta el operador y luego a otra cuenta de servicio con privilegios de administrador del clúster.
Impacto
Puntuación base 3.x
8.80
Gravedad 3.x
ALTA