Kanister 存在潜在风险，可利用该漏洞进行集群级权限提升（CVE-2024-43403）
CVE编号
CVE-2024-43403利用情况
暂无补丁情况
N/A披露时间
2024-08-21漏洞描述
Kanister是一款数据保护工作流程管理工具。Kanister有一个名为default-kanister-operator的部署，它与一个名为edit的ClusterRole通过ClusterRoleBinding绑定。这个“edit”的ClusterRole是Kubernetes默认创建的ClusterRole之一，它具有创建/补丁/更新daemonset资源的权限，创建serviceaccount/token资源的权限，以及模拟serviceaccounts资源的权限。恶意用户可以利用访问具有此组件的工作节点来进行集群级别的权限提升。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/kanisterio/kanister/blob/master/helm/kanister-operator/tem... | |
| https://github.com/kanisterio/kanister/security/advisories/GHSA-h27c-6xm3-mcqp |
- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论