Consorzio Metis

CSIRT Toscana

CSIRT Toscana

Rilevata vulnerabilità in Image Builder per Kubernetes (AL02/241017/CSIRT-ITA)

Data:
17 Ottobre 2024 09:52

Sintesi

Rilevata una vulnerabilità, con gravità “critica”, nel prodotto Kubernetes Image Builder, in cui le credenziali di default sono abilitate durante il processo di compilazione dell’immagine. Tale vulnerabilità potrebbe consentire l’elevazione dei privilegi e/o il bypass dei meccanismi di autenticazione.

Rischio

Stima d’impatto della vulnerabilità sulla comunità di riferimento: MEDIO/GIALLO (62,31/100)1.

Tipologia

  • Authentication Bypass
  • Elevation of Privilege

Prodotti e/o versioni affette

Kubernetes Image Builder, versione v. 0.1.37 e precedenti

Azioni di mitigazione

In linea con le dichiarazioni del vendor si raccomanda di intraprendere le azioni di mitigazione seguendo le istruzioni fornite nel bollettino di sicurezza riportato nella sezione Riferimenti.

Identificatori univoci vulnerabilità

CVE-2024-9486

Riferimenti

https://github.com/kubernetes/kubernetes/issues/128006

1La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.

Il presente articolo è un prodotto originale di csirt.gov.it, riproposto qui a solo scopo di aumentarne la visibilità.