Inicio / Alerta Temprana / Vulnerabilidades / CVE-2020-8567

Vulnerabilidad en la biblioteca /var/lib/kubelet/pods en la creación de objetos SecretProviderClass en Kubernetes Secrets Store CSI Driver Vault Plugin (CVE-2020-8567)

Tipo: 
Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Gravedad: 
Media
Fecha publicación : 
21/01/2021
Última modificación: 
28/01/2021
Descripción
Kubernetes Secrets Store CSI Driver Vault Plugin anterior a versión v0.0.6, Azure Plugin anterior a versión v0.0.10 y GCP Plugin anterior a versión v0.2.0, permiten a un atacante que puede crear objetos SecretProviderClass especialmente diseñados para escribir en rutas de archivo arbitrarias en el sistema de archivos host , incluyendo la biblioteca /var/lib/kubelet/pods
Impacto
Vector de acceso: A través de red
Complejidad de Acceso: Baja
Autenticación: No disponible
Tipo de impacto: Afecta parcialmente a la integridad del sistema + No hay impacto en la confidencialidad del sistema + No hay impacto en la disponibilidad del sistema
Productos y versiones vulnerables
  • cpe:2.3:a:microsoft:key_vault_provider_for_secrets_store_csi_driver:*:*:*:*:*:kubernetes:*:*
  • cpe:2.3:a:hashicorp:vault_provider_for_secrets_store_csi_driver:*:*:*:*:*:kubernetes:*:*
  • cpe:2.3:a:google:secret_manager_provider_for_secret_store_csi_driver:*:*:*:*:*:kubernetes:*:*
Para consultar la lista completa de productos y versiones ver esta página
Referencias a soluciones, herramientas e información
  • N/A (Origen: CONFIRM)
  • N/A (Origen: MLIST)
Explicación de los campos