Rancher / k3s / RKE2 Seite 2

In ncurses 5.0 sowie im Kompatibilitätspaket ncurses4, wie es in Red Hat Linux eingesetzt wurde, besteht ein Buffer Overflow. Lokale Benutzer können darüber ihre Rechte ausweiten; die Schwäche steht im Zusammenhang mit Routinen zum Bewegen des physischen Cursors und zum Scrollen. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Betroffen sind im Feed die überwachten Produktbereiche Debian (DSA), SUSE und SUSE/openSUSE. Empfohlene Massnahme: die bereitgestellten Distributions-Updates einspielen.

Ein fehlerhaftes Zwischenspeichern der Authentifizierung bei der Auflösung von Team-Mitgliedschaften im GitHub-Authentifizierungsprovider von Rancher führte dazu, dass jedem angemeldeten Benutzer Principal-Zugriff gewährt werden konnte. Betroffen sind laut Quelle Version 2.13 vor 2.13.6 sowie weitere 2.x-Versionen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine fehlerbereinigte Rancher-Version aktualisieren.

Eine unsachgemässe Privilegienbehandlung in Rancher erlaubt Benutzern mit der Rolle „Project Owner“ eine Rechteausweitung. Betroffen sind die Rancher-Versionen 2.14 vor 2.14.2, 2.13 vor 2.13.6 sowie 2.12 vor 2.12.10. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Rancher auf die jeweils gepatchte Version (2.14.2, 2.13.6 bzw. 2.12.10) oder neuer aktualisieren.

Rancher vergibt langlebige Registrierungs-Token, mit denen Nodes und Agents einem Downstream-Cluster beitreten. Diese Token wurden im Klartext gespeichert und offengelegt und besassen zudem kein Ablaufdatum, wodurch ein böswilliger Nutzer sie missbrauchen konnte. CVSS-Basiswert: 8.8 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In SUSE NeuVector (Rancher) bis Version 5.4.9 kann die Manager-API-Route /network/graph ohne Authentifizierung abgefragt werden. Da die dort zwischengespeicherten Daten sensible Informationen enthalten, können nicht authentifizierte Angreifer im Netzwerk dadurch Informationen aus dem Cluster einsehen. CVSS-Basiswert: 7.3 (Hoch).

In pam-config innerhalb der Linux Pluggable Authentication Modules (PAM) besteht eine Schwachstelle zur lokalen Rechteausweitung (LPE). Ein unprivilegierter lokaler Angreifer, etwa ein über SSH angemeldeter Benutzer, kann dadurch erhöhte Rechte erlangen, die normalerweise einem physisch anwesenden allow_active-Benutzer vorbehalten sind. In der Folge kann der Angreifer alle allow_active-Polkit-Aktionen ausführen und so unter Umständen unbefugte Kontrolle über Systemkonfigurationen, Dienste oder andere sensible Vorgänge erlangen. CVSS-Basiswert: 7.8 (Hoch).

IBM webMethods Integration Server (10.5, 10.7, 10.11 und 10.15) ist bei der Verarbeitung von XML-Daten anfällig für eine XML-External-Entity-Injection (XXE). Ein entfernter, authentifizierter Angreifer kann die Schwachstelle ausnutzen, um beliebige Befehle auszuführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

IBM webMethods Integration Server in den Versionen 10.5, 10.7, 10.11 und 10.15 erlaubt einem privilegierten Benutzer eine Rechteausweitung bei der Verarbeitung externer Entitäten, da diese mit unnötig hohen Rechten ausgeführt wird. CVSS-Basiswert: 7.2 (Hoch).

In psi/zcolor.c von Artifex Ghostscript vor Version 10.04.0 wurde eine Schwachstelle entdeckt: Ein ungeprüfter Implementation-Pointer im Pattern Color Space kann zur Ausführung von beliebigem Code führen. Laut CVSS-Vektor erfolgt der Angriff lokal und erfordert Benutzerinteraktion, etwa das Verarbeiten einer präparierten Datei. Betroffen sind alle Versionen vor 10.04.0; neben Artifex führen auch Debian, SUSE, Scale Computing und SAP die Lücke für ihre Produkte. CVSS-Basiswert: 7.8 (Hoch).

In Artifex Ghostscript vor Version 10.04.0 führt ein Integer Overflow in base/gsdevice.c beim Parsen des Dateinamen-Formatstrings für die Ausgabedatei zu einer Pfadverkürzung. Daraus können Path Traversal und in der Folge Codeausführung resultieren. Betroffen sind neben Ghostscript selbst auch Distributionen und Produkte, die die Komponente einbetten, darunter Debian, SUSE/openSUSE, Scale Computing und SAP. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Ghostscript 10.04.0 oder neuer bzw. die entsprechenden Paket-Updates der Distributionen einspielen.

In psi/zfile.c von Artifex Ghostscript vor Version 10.04.0 wurde eine Schwachstelle entdeckt: Ein Out-of-Bounds-Datenzugriff in filenameforall kann zur Ausführung von beliebigem Code führen. Laut CVSS-Vektor erfolgt der Angriff lokal und erfordert Benutzerinteraktion, etwa das Verarbeiten einer präparierten Datei. Betroffen sind alle Versionen vor 10.04.0; neben Artifex führen auch Debian, SUSE, Scale Computing und SAP die Lücke für ihre Produkte. CVSS-Basiswert: 7.8 (Hoch).

In Rancher wurde eine Schwachstelle identifiziert, die dazu führen kann, dass sensible Daten in die Audit-Logs von Rancher gelangen. Betroffen sind ausschliesslich Deployments, bei denen das optionale Rancher Audit Logging aktiviert und AUDIT_LEVEL auf 1 oder höher gesetzt ist. CVSS-Basiswert: 8.4 (Hoch).

In Rancher 2.x vor 2.6.13 und 2.7.x vor 2.7.4 erlaubt eine falsch angewendete Autorisierungsprüfung Benutzern mit bestimmtem Zugriff auf einen Namespace, diesen Namespace in ein anderes Projekt zu verschieben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Rancher 2.6.13 bzw. 2.7.4 oder neuer.

Eine Cross-Site-Request-Forgery-Schwachstelle im Jenkins NeuVector Vulnerability Scanner Plugin 1.22 und früher erlaubt Angreifern, sich unter einem angreiferseitig festgelegten Hostnamen und Port mit angreiferseitig festgelegtem Benutzernamen und Passwort zu verbinden. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Plugin-Version einspielen.

In SUSE RKE2 erlauben unzureichende Ressourcenbegrenzungen Angreifern mit Zugriff auf den apiserver/supervisor-Port (TCP 6443) der K3s-Server, einen Denial of Service auszulösen. Betroffen sind RKE2-Versionen von 1.24.0 vor 1.24.17+rke2r1, von 1.25.0 vor 1.25.13+rke2r1, von 1.26.0 vor 1.26.8+rke2r1, von 1.27.0 vor 1.27.5+rke2r1 sowie von 1.28.0 vor 1.28.1+rke2r1. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In SUSE k3s fehlt eine Begrenzung bei der Zuteilung von Ressourcen (Allocation of Resources Without Limits or Throttling). Angreifer mit Zugriff auf den apiserver/supervisor-Port (TCP 6443) der K3s-Server können dadurch einen Denial-of-Service-Zustand auslösen. Betroffen sind k3s- Versionen vor v1.24.17+k3s1, vor v1.25.13+k3s1, vor v1.26.8+k3s1, vor v1.27.5+k3s1 sowie vor v1.28.1+k3s1. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf die jeweils genannte Fix-Version aktualisieren.

Kaspersky Version 3.x bis 4.x erlaubt entfernten Angreifern, den Virenschutz zu umgehen, indem eine komprimierte Datei mit auf null gesetzten lokalen und globalen Headern verwendet wird, die dennoch auf dem Zielsystem geöffnet werden kann. CVSS-Basiswert: 7.5 (Hoch).

Eset Anti-Virus vor Version 1.020 (16. September 2004) erlaubt Angreifern aus der Ferne, den Virenschutz zu umgehen. Eine komprimierte Datei, deren lokale und globale Header auf null gesetzt sind, verhindert das Öffnen auf dem Zielsystem nicht und entgeht so der Prüfung. CVSS-Basiswert: 7.5 (Hoch).

In ABB Arctic ARG600/ARC600/ARR600/ARP600 Wireless Gateway und OpenSSH wurde eine Sicherheitslücke (CVE-2024-6387, regreSSHion) gemeldet. Laut ABB PSIRT sind 4 Produkt(e) betroffen, 0 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 99.5 %.

Für Apache HTTP Server wurde eine Sicherheitslücke (CVE-2011-3192) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 98.9 %.

Systeme mit Mikroprozessoren, die spekulative Ausführung und Sprungvorhersage nutzen, ermöglichen einem lokalen Angreifer unbefugten Informationsabfluss über eine Seitenkanalanalyse (Spectre Variante 1). Betroffen sind unter anderem Produkte von Honeywell, Synology, Xen Project, Axis und OpenVPN Inc. CVSS-Basiswert: 5.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 93.8 %.

Für Synology-Produkte wurde eine Sicherheitslücke gemeldet, die in DSM 5.2-5644 Update 5 behoben wurde. Ausnutzungswahrscheinlichkeit (EPSS): 89.1 %.

Für Synology-Produkte wurde eine Sicherheitslücke (CVE-2014-0221) gemeldet, die in mehreren DSM-Versionen adressiert wurde (DSM 4.0-2264, DSM 4.2-3250, DSM 4.3-3827 Update 4, DSM 5.0-4493 Update 1). Die zugrunde liegende OpenSSL-Schwachstelle betrifft laut Quellenlage auch Produkte weiterer Hersteller. Ausnutzungswahrscheinlichkeit (EPSS): 87.9 %.

Für Dnsmasq wurde eine Sicherheitslücke (CVE-2017-14491) gemeldet, die zahlreiche überwachte Produkte betrifft; Synology und mehrere Linux-Distributionen führen entsprechende Advisories. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 84.9 %.

Für nginx und weitere Produkte wurde eine Sicherheitslücke (CVE-2013-4547) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 67.7 %.

Für Synology-Produkte wurde eine Sicherheitslücke in OpenSSL gemeldet (CVE-2016-6304). Ausnutzungswahrscheinlichkeit (EPSS): 63.0 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2009-1955) gemeldet. Weitere Distributionen (u. a. SUSE/openSUSE, Debian, Ubuntu, Fedora) führen die Lücke ebenfalls in ihren Sicherheitshinweisen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 53.0 %.

Für Synology-Produkte wurde eine Sicherheitslücke im NTP-Dienst gemeldet (CVE-2016-4957). Ausnutzungswahrscheinlichkeit (EPSS): 44.9 %.

Für Synology-Produkte wurde eine Sicherheitslücke (CVE-2014-0198) gemeldet, die in mehreren DSM-Versionen adressiert wurde (DSM 4.0-2264, DSM 4.2-3250, DSM 4.3-3827 Update 4, DSM 5.0-4493 Update 1). Auch Rockwell Automation, The Document Foundation (LibreOffice) sowie OpenSSL, MySQL/MariaDB und mehrere Distributionen führen die Lücke in ihren Sicherheitshinweisen. Ausnutzungswahrscheinlichkeit (EPSS): 43.8 %.

Für OpenSSL wurde eine Sicherheitslücke (CVE-2016-7052) gemeldet; Synology und weitere überwachte Produkte führen entsprechende Advisories. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 30.2 %.

Für Produkte von Axis wurde eine Sicherheitslücke (CVE-2002-20001) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 23.1 %.

Für Synology-Produkte wurde eine Sicherheitslücke (CVE-2014-2497) gemeldet, die in DSM 5.0-4627 adressiert wurde. Die zugrunde liegende Schwachstelle betrifft auch PHP sowie diverse Linux-Distributionen (Ubuntu, SUSE, Debian). Ausnutzungswahrscheinlichkeit (EPSS): 22.3 %.

Für Synology-Produkte und weitere Hersteller wurde eine Sicherheitslücke im NTP-Dienst gemeldet (CVE-2016-4953). Ausnutzungswahrscheinlichkeit (EPSS): 17.2 %.

Für Synology-Produkte wurde eine Sicherheitslücke im NTP-Dienst gemeldet (CVE-2016-4956). Ausnutzungswahrscheinlichkeit (EPSS): 16.4 %.

Im Bundle-Reader von SUSE Rancher Fleet fehlt eine Filterung, wenn das Feld helmRepoURLRegex auf einer GitRepo-Ressource nicht gesetzt ist. Betroffen sind laut Quelle die Zweige 0.15 vor 0.15.2, 0.14 vor 0.14.6, 0.13 vor 0.13.11 und 0.12 vor der zugehörigen Fix-Version. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine fehlerbereinigte Fleet-Version aktualisieren.

In Rancher wurde eine Denial-of-Service-Schwachstelle in mehreren TLS-Listenern identifiziert. Betroffen sind sowohl die in Downstream-Clustern laufende Komponente cattle-cluster-agent als auch der Rancher-Server selbst. CVSS-Basiswert: 4.3 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Das SSL-Protokoll 3.0 verwendet in OpenSSL bis Version 1.0.1i nichtdeterministisches CBC-Padding, was Man-in-the-Middle-Angriffe zur Entschlüsselung von Klartextdaten ermöglicht (bekannt als POODLE). CVSS-Basiswert: 3.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %.

Das TLS-Protokoll 1.2 und früher erlaubt einem Man-in-the-Middle-Angreifer, eine DHE_EXPORT-Verschlüsselung zu erzwingen, wenn der Server diesen schwachen Cipher-Typ unterstützt, auch wenn der Client ihn nicht anfordert. Synology DSM ist betroffen (adressiert in DSM 5.2-5592). CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 99.7 %.

Der RC4-Algorithmus, wie er im TLS- und SSL-Protokoll eingesetzt wird, kombiniert Zustands- und Schlüsseldaten in der Initialisierungsphase nicht korrekt. Dadurch wird es entfernten Angreifern erleichtert, Plaintext-Daten durch statistische Analysen des verschlüsselten Datenverkehrs zu ermitteln. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 23.4 %.