Podatności konflux-ci

W konflux-ci wykryto podatność umożliwiającą wykonanie dowolnego kodu z powodu nieprawidłowego cytowania zmiennych powłoki w skryptach wdrożeniowych. Lokalny atakujący mogący dostarczyć argumenty do tych skryptów może wywołać nieoczekiwane podstawienie poleceń i wykonać polecenia z uprawnieniami runnera wdrożeniowego.

W konflux-ci wykryto lukę, która pozwala na eskalację uprawnień, gdy proxy interfejsu użytkownika automatycznie wyłącza weryfikację certyfikatów TLS dla połączeń z wewnętrznymi usługami backendu w środowiskach bez domyślnego urzędu certyfikacji usług. Proxy dołącza token uwierzytelniania o zasięgu klastra z uprawnieniami do personifikacji użytkownika, więc atakujący w sąsiedniej sieci może przechwycić poświadczenia i uzyskać pełną kontrolę administracyjną nad klastrem.

W konflux-ci wykryto lukę, która pozwala atakującemu z prawem zapisu do repozytorium na wykonanie dowolnego kodu w środowisku CI/CD. Poprzez wstrzyknięcie poleceń powłoki do skryptów eksportu środowiska atakujący powoduje, że skrypty synchronizacji manifestów dynamicznie oceniają niezweryfikowane dane wyjściowe. Udana eksploatacja pozwala na przejęcie potoków CI/CD, kradzież tokenów uwierzytelniania i poświadczeń wdrożeniowych oraz nieautoryzowany dostęp do systemów produkcyjnych.

W konflux-ci wykryto lukę, która pozwala atakującemu z uprawnieniem do wyzwalania automatycznych przepływów pracy na ujawnienie informacji poprzez dostarczanie spreparowanych tytułów zgłoszeń do skryptów przepływu pracy. Skrypt włącza tytuły dostarczone przez użytkownika bezpośrednio do zapytań danych bez odpowiedniej sanityzacji, co pozwala na wstrzyknięcie złośliwych poleceń filtrujących. W rezultacie poufne informacje, takie jak poświadczenia API, klucze wdrożeniowe i notatki wewnętrzne, mogą zostać ujawnione w logach przepływu pracy.

W konflux-ci wykryto lukę, w której skrypty automatyzacji CI przechowują wrażliwe tokeny dostępu GitHub w postaci jawnej na runnerze bez ich czyszczenia po wykonaniu. Lokalny atakujący z dostępem do środowiska CI może odczytać te poświadczenia, aby uzyskać nieautoryzowany dostęp do repozytorium, potencjalnie modyfikując kod źródłowy lub artefakty wydania.