Kubernetes

Im Microsoft Azure Kubernetes Service Confidential Container besteht eine Schwachstelle, die eine Rechteausweitung ermöglicht. CVSS-Basiswert: 9.0 (Kritisch).

Eine Schwachstelle in Microsoft Azure Kubernetes Service Confidential Containers ermöglicht einem Angreifer die Ausführung von beliebigem Code aus der Ferne (Remote Code Execution). Der Angriff erfolgt über das Netzwerk und erfordert keine vorherige Authentifizierung. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: die von Microsoft bereitgestellten Sicherheitsupdates einspielen.

Eine kritische Funktion im Microsoft Azure Kubernetes Service ist ohne Authentifizierung erreichbar und erlaubt einem nicht autorisierten Angreifer, seine Rechte über das Netzwerk auszuweiten. Laut CVSS-Vektor ist der Angriff aus dem Netzwerk, ohne Anmeldung und ohne Benutzerinteraktion möglich und wirkt über die Vertrauensgrenze hinaus (Scope changed). CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: bereitgestellte Sicherheitsupdates einspielen und den Zugriff auf betroffene Dienste einschränken.

In Microsoft Azure Kubernetes Service besteht eine unzureichende Autorisierungsprüfung, die einem nicht authentifizierten Angreifer über das Netzwerk eine Rechteausweitung ermöglicht. CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Jupyter Enterprise Gateway startet entfernte Jupyter-Notebook-Kernel über verteilte Cluster hinweg, etwa Apache Spark, Kubernetes und Docker Swarm. In den Versionen ab 2.0.0rc1 und vor 3.3.0 besteht eine Schwachstelle im Umgang mit diesen Kerneln. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 3.3.0 oder neuer.

Capsule ist ein Framework für Mandantentrennung und Policies in Kubernetes. Der Capsule Controller läuft mit cluster-admin-Rechten; obwohl die Verarbeitungslogik der TenantResource-RawItems bestimmte Felder erzwingt, lässt sich die Schwachstelle laut Quelle für unbeabsichtigte Rechteausweitung missbrauchen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Der Logging Operator automatisiert Bereitstellung und Konfiguration von Kubernetes-Logging-Pipelines. Vor Version 6.6.0 weist der Fluentd-Konfigurationsrenderer FluentRender in pkg/sdk/logging/model/render/fluent.go eine Schwachstelle auf. CVSS-Basiswert: 9.9 (Kritisch). Weitere Angaben zur genauen Ausnutzung liegen in den Quelldaten nicht vor. Empfohlene Massnahme: auf Version 6.6.0 oder neuer aktualisieren.

MCP Server Kubernetes vor Version 3.9.0 enthält eine Argument-Injection in den strukturierten Tools kubectl_get, kubectl_describe und kubectl_delete. Angreifer können damit laut NVD die Prüfung assertNoDangerous umgehen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Zugeordnetes überwachtes Produkt: Kubernetes. Empfohlene Massnahme: auf Version 3.9.0 oder neuer aktualisieren.

Esri Portal for ArcGIS in Version 12.1 und älter weist unter Windows, Linux und Kubernetes eine fehlende Authentifizierung für eine kritische Funktion auf. Nicht authentifizierte Angreifer können darüber aus der Ferne zugreifen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Herstellerhinweise beachten und auf eine Version neuer als 12.1 aktualisieren.

Fission ist ein Kubernetes-natives Open-Source-Serverless-Framework für die Bereitstellung von Funktionen und Anwendungen. In Versionen vor 1.23.0 registriert der Fission-Router eine Schnittstelle, aus der sich eine kritische Schwachstelle ergibt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Fission 1.23.0 oder neuer aktualisieren.

Fission ist ein quelloffenes, Kubernetes-natives Serverless-Framework für die Bereitstellung von Funktionen und Anwendungen. In Versionen vor 1.24.0 besteht eine Schwachstelle im Zusammenhang mit dem Feld Environment.spec.runtime.podSpec. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Fission 1.24.0 oder neuer aktualisieren.

Fission ist ein quelloffenes, Kubernetes-natives Serverless-Framework für die Bereitstellung von Funktionen und Anwendungen. In Versionen vor 1.24.0 kann ein Mandant mit Berechtigungen auf environments.fission-Ressourcen die Schwachstelle ausnutzen. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf Fission 1.24.0 oder neuer aktualisieren.

In der Komponente Kubernetes Operator des Produkts TimesTen In-Memory Database von Oracle besteht eine kritische Schwachstelle. Betroffen ist laut Quelle die Version 26.1.1.1.0. Die Lücke ist gemäss NVD leicht ausnutzbar und kann über das Netzwerk missbraucht werden. CVSS-Basiswert: 9.9 (Kritisch). Betroffene Instanzen sollten anhand der Oracle-Advisories auf eine gepatchte Version gehoben werden.

Im Application-Subscription-Controller (multicluster-operators-subscription) von Red Hat Advanced Cluster Management for Kubernetes (ACM) wurde eine Schwachstelle festgestellt, die im Zusammenhang mit Benutzern mit auf einen Namespace beschränkten „edit“-Rechten steht. Betroffen sind laut Zuordnung Kubernetes-nahe Red-Hat-Produkte (OpenShift/RHEV, RHSA) sowie Keycloak. CVSS-Basiswert: 9.9 (Kritisch).

Fission ist ein quelloffenes, Kubernetes-natives Serverless-Framework für den Betrieb von Funktionen und Anwendungen. In Versionen vor 1.24.0 besteht eine kritisch bewertete Schwachstelle im Pfad des Container-Executors. CVSS-Basiswert: 9.9 (Kritisch) bei netzbasiertem Angriffsvektor mit nur geringen Rechten und ohne Nutzerinteraktion. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Fission 1.24.0 oder neuer aktualisieren.

Fission ist ein quelloffenes, Kubernetes-natives Serverless-Framework für den Betrieb von Funktionen und Anwendungen auf Kubernetes. Vor Version 1.24.0 exponiert die Environment-CRD von Fission sicherheitsrelevante Angaben; die Quellbeschreibung liegt nur gekürzt vor. CVSS-Basiswert: 9.9 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H – für die Ausnutzung über das Netz genügen niedrige Privilegien, der Scope wechselt über die Grenzen der betroffenen Komponente hinaus. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im ClusterCurator-Controller der Multicluster Engine for Kubernetes besteht eine Schwachstelle. Laut Quelle kann ein Mandanten-Administrator mit auf einen Namespace beschränkten Rechten sie ausnutzen, indem er eine namespace-gebundene ClusterCurator-Ressource anlegt. Der CVSS-Vektor (AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) beschreibt einen Angriff über das Netzwerk mit geringem Aufwand, der bereits hohe Rechte voraussetzt, aber zu einem Wechsel des Scopes sowie vollständigem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit führt. CVSS-Basiswert: 9.1 (Kritisch).

In Esri Portal for ArcGIS 11.4, 11.5 und 12.0 auf Windows, Linux und Kubernetes wurden Berechtigungen für Developer Credentials nicht korrekt geprüft. Ein Angreifer kann diese Schwachstelle zur unberechtigten Zugriffserweiterung ausnutzen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

vault-secrets-webhook ist ein Kubernetes Mutating Webhook, der die direkte Injektion von Secrets in Pods ermöglicht. Laut NVD-Beschreibung verarbeitet die Funktion parseVaultConfig() in pkg/webhook/config.go vor Version 1.23.1 die vault.security.-Konfiguration fehlerhaft; die genaue Angriffsart ist der Quellbeschreibung nicht vollständig zu entnehmen, da der Text dort abbricht. CVSS-Basiswert: 9.6 (Kritisch).

In Esri ArcGIS Server 11.3, 11.4 und 11.5 (Windows, Linux und Kubernetes) besteht eine SQL-Injection-Schwachstelle. Ein entfernter, nicht authentifizierter Angreifer kann über eine bestimmte ArcGIS-Feature-Service-Operation beliebige SQL-Befehle ausführen. Eine erfolgreiche Ausnutzung kann zu unbefugtem Zugriff auf sowie zur Veränderung oder Löschung von Daten der zugrunde liegenden Enterprise-Geodatabase führen. CVSS-Basiswert: 10.0 (Kritisch).

Im Microsoft Azure Kubernetes Service besteht in Confidential Containern eine Schwachstelle zur Ausweitung von Berechtigungen (Elevation of Privilege). Ein Angreifer kann darüber höhere Rechte erlangen. CVSS-Basiswert: 9 (Kritisch).

In ingress-nginx wurde eine Sicherheitslücke entdeckt, bei der die Ingress-Annotation nginx.ingress.kubernetes.io/rewrite-target zur Einschleusung von Konfiguration in nginx missbraucht werden kann. Dies kann zur Ausführung beliebigen Codes führen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 6.3 %.

In ingress-nginx können bestimmte Kombinationen von Ingress-Annotationen zur Einschleusung von nginx-Konfiguration missbraucht werden. Dies kann zur Ausführung beliebigen Codes im Kontext des nginx-Prozesses führen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.5 %.

In cri-o wurde ein Fehler gefunden: Ein boesartiger Container kann über Directory-Traversal einen symbolischen Link auf beliebige Dateien des Hosts anlegen. Dadurch kann der Container beliebige Dateien des Host-Systems lesen und beschreiben. CVSS-Basiswert: 8.1 (Hoch).

In der cluster-proxy-Komponente service-proxy, die in Red Hat Advanced Cluster Management for Kubernetes (RHACM) und multicluster-engine (MCE) verwendet wird, wurde ein Fehler gefunden. Der service-proxy hängt dabei Impersonation-Angaben an Anfragen an. CVSS-Basiswert: 8.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Eine Path-Traversal-Schwachstelle (unzureichende Beschränkung eines Pfadnamens auf ein erlaubtes Verzeichnis) in Microsoft Azure Kubernetes Service erlaubt einem autorisierten Angreifer, lokal Code auszuführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Apache Camel K besteht eine Schwachstelle durch eine extern kontrollierte Referenz auf eine Ressource in einem anderen Bereich in Verbindung mit einer Autorisierungsumgehung über einen benutzerkontrollierten Schlüssel. Autorisierte Benutzer innerhalb eines Kubernetes-Namespace können dies missbrauchen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Die Kubeflow Community Distribution unterstützt die Installation der Kubeflow-Plattform in gängigen Kubernetes-Clustern. In Versionen vor 26.03-rc.1 ist eine auf den offiziellen Manifesten oder gängigen Paketen basierende Installation betroffen. CVSS-Basiswert: 8.0 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Red Hat Advanced Cluster Security for Kubernetes (RHACS) begrenzt die zentrale Komponente Central die Tiefe von GraphQL-Abfragen auf der authentifizierten GraphQL-API nicht. Ein authentifizierter Benutzer kann dies missbrauchen, um übermässig verschachtelte Abfragen abzusetzen. Der CVSS-Vektor weist eine hohe Auswirkung auf die Verfügbarkeit aus (S:C/A:H). CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Kamaji, der Hosted-Control-Plane-Manager für Kubernetes, leitet vor Version 26.7.4-edge das Datastore-Schema, den Datenbank-Benutzer und das etcd-Key-Prefix einer TenantControlPlane aus einer verlustbehafteten Kombination aus Namespace und Name ab. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Kamaji auf Version 26.7.4-edge oder neuer aktualisieren.

In feast-dev/feast Version 0.53.0 besteht eine hochgradige Schwachstelle für Remote Code Execution im Kubernetes-Materializer-Job (feast/sdk/python/feast/infra/compute_engines). CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Esri Portal for ArcGIS Version 12.1 und früher (auf Windows, Linux und Kubernetes) besteht ein schwacher Mechanismus zur Wiederherstellung vergessener Passwörter. Ein entfernter, nicht autorisierter Angreifer könnte darüber die Kontrolle über fremde Konten übernehmen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Argo CD 3.2.0 vor 3.2.11 sowie 3.3.0 vor 3.3.9 erlaubt die Funktion ServerSideDiff das Auslesen von Kubernetes-Secret-Daten im Klartext. Die Schwachstelle ist über das Netzwerk mit niedrigen Rechten ausnutzbar und wirkt sich auf die Vertraulichkeit aus. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Argo CD 3.2.11 bzw. 3.3.9 oder neuer aktualisieren.

In Red Hat Advanced Cluster Security for Kubernetes (RHACS) ersetzt ACS beim Verarbeiten von Kubernetes-Deployments Identitätsmetadaten anhand des Feldes openshift.io/encoded-deploy. Dadurch kann die tatsächliche Deployment-Identität verfälscht werden, was Folgeangriffe auf die Cluster-Sicherheitskontrolle ermöglicht. CVSS-Basiswert: 8.5 (Hoch).

JWT-Tokens, die von Workern in Kubernetes-Executors verwendet werden, waren für Benutzer mit ausschliesslich lesendem Zugriff auf Kubernetes-Pods einsehbar. Dadurch könnten Benutzer mit reinem Lesezugriff Aktionen ausführen, die eigentlich nur laufenden Tasks über das Task SDK vorbehalten waren, und möglicherweise den Zustand der Airflow-Datenbank verändern. CVSS-Basiswert: 8.7 (Hoch).

In Open Cluster Management (OCM), der Basistechnologie von Red Hat Advanced Cluster Management (ACM), wurde eine unzureichende Validierung bei der Erneuerung von Kubernetes-Client-Zertifikaten für verwaltete Cluster festgestellt. Dies kann von einem verwalteten Cluster ausgenutzt werden. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In mcp-server-kubernetes (Versionen 3.4.0 und früher) wurde eine Argument-Injection-Schwachstelle im port_forward-Tool gefunden. Ein Angreifer könnte dadurch unerwünschte Argumente einschleusen. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Ist auf einem virtuellen Server von BIG-IP Virtual Edition (VE) ohne Intel QuickAssist Technology (QAT) oder auf BIG-IP-Hardware-Plattformen mit der Datenbankvariable crypto.hwacceleration auf „disabled“ ein SSL-Profil konfiguriert, kann nicht näher spezifizierter Datenverkehr die Traffic Management Microkernel (TMM) zur Beendigung bringen. Softwareversionen, die das Ende des technischen Supports (EoTS) erreicht haben, wurden nicht bewertet. CVSS-Basiswert: 7.5 (Hoch).

Sind auf einem Virtual Server SSL-Profile konfiguriert, kann nicht näher spezifizierter Datenverkehr dazu führen, dass der Virtual Server keine neuen Client-Verbindungen mehr annimmt. Software-Versionen, die das End of Technical Support (EoTS) erreicht haben, wurden laut Hersteller nicht bewertet. CVSS-Basiswert: 7.5 (Hoch).

Ist auf einem UDP-Virtual-Server ein Classification-Profil konfiguriert, können nicht näher spezifizierte Anfragen den Traffic Management Microkernel (TMM) zum Beenden bringen. Software-Versionen, die das End of Technical Support (EoTS) erreicht haben, werden laut Hersteller nicht bewertet. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht in den Quelldaten vor.

Ist auf einem virtuellen Server sowohl ein HTTP/2-Profil als auch eine iRule mit dem Befehl HTTP::redirect oder HTTP::respond konfiguriert, können nicht näher spezifizierte Anfragen den Traffic Management Microkernel (TMM)-Prozess zum Beenden bringen. Software-Versionen, die das End of Technical Support (EoTS) erreicht haben, werden laut Hersteller nicht bewertet. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht in den Quelldaten vor.

Nodemailer enthält laut NVD-Eintrag eine Schwachstelle, die einen Denial-of-Service über einen präparierten E-Mail-Adress-Header ermöglicht. Der Header löst eine unendliche Rekursion im Adress-Parser aus. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Einschätzung liegt für diesen Eintrag nicht vor.

Eine ineffiziente Algorithmuskomplexität in der mjson-Komponente von HAProxy erlaubt entfernten Angreifern, durch speziell gestaltete JSON-Anfragen einen Denial-of-Service-Zustand auszulösen. CVSS-Basiswert: 7.5 (Hoch).

Sind in einem SSL-Profil eines virtuellen Servers unter Cipher Rule oder Cipher Group Diffie-Hellman-ECC-Brainpool-Kurven konfiguriert, kann laut Quelle undokumentierter Datenverkehr zum Beenden der Traffic Management Microkernel (TMM) führen. Softwareversionen, die das End of Technical Support (EoTS) erreicht haben, wurden nicht bewertet. CVSS-Basiswert: 7.5 (Hoch).

Bei aktivierter Client-SSL-Profilkonfiguration auf einem virtuellen Server kann laut F5 ein nicht näher spezifizierter Request-Typ zu einem erhöhten Speicherverbrauch führen. Software-Versionen, die das Ende des technischen Supports (EoTS) erreicht haben, wurden dabei nicht bewertet. CVSS-Basiswert: 7.5 (Hoch).

Auf Multi-Blade-Plattformen mit mehr als einer Blade kann nicht näher spezifizierter Datenverkehr einen Abbruch der Traffic Management Microkernel (TMM) auslösen. Software-Versionen, die das End of Technical Support (EoTS) erreicht haben, wurden laut Hersteller nicht bewertet. CVSS-Basiswert: 7.5 (Hoch).

Ist auf einem virtuellen Server ein Classification-Profil ohne zugehöriges HTTP- oder HTTP/2-Profil konfiguriert, können laut NVD nicht näher spezifizierte Anfragen die Traffic Management Microkernel (TMM) zum Absturz bringen. Software-Versionen, die das Ende des technischen Supports (EoTS) erreicht haben, wurden nicht bewertet. CVSS-Basiswert: 7.5 (Hoch). Zu einer verfügbaren Fehlerbehebung liegen in den Quelldaten keine Angaben vor.

Ist auf einem F5 BIG-IP-System IPsec konfiguriert, kann nicht näher spezifizierter Datenverkehr dazu führen, dass der Traffic Management Microkernel (TMM) beendet wird. Software-Versionen, die das End of Technical Support (EoTS) erreicht haben, wurden laut Hersteller nicht bewertet. CVSS-Basiswert: 7.5 (Hoch).

Ist HTTP/2 Ingress konfiguriert, kann laut NVD undokumentierter Datenverkehr die Traffic Management Microkernel (TMM) zum Beenden bringen. Software-Versionen, die das End of Technical Support (EoTS) erreicht haben, wurden dabei nicht bewertet. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt nicht vor.