kustomize-controller 操作系统命令注入漏洞

CNNVD-ID编号	CNNVD-202111-1153	CVE编号	CVE-2021-41254
发布时间	2021-11-12	更新时间	2021-11-15
漏洞类型	操作系统命令注入	漏洞来源	N/A
危险等级	高危	威胁类型	远程
厂商	N/A

漏洞介绍

kustomize-controller是一个 Kubernetes 操作员，专门为使用 Kubernetes 清单定义并使用 Kustomize 组装的基础设施和工作负载运行持续交付管道。 kustomize-controlle 0.15.0之前版本存在操作系统命令注入漏洞，经过身份验证的攻击者可以通过该漏洞获得集群管理员权限。

漏洞补丁

目前厂商已发布升级了kustomize-controller 操作系统命令注入漏洞的补丁，kustomize-controller 操作系统命令注入漏洞的补丁获取链接： https://github.com/fluxcd/kustomize-controller/security/advisories/GHSA-35rf-v2jv-gfg7