Origine : bjCSIRT
Numéro : 2024/ALERTE/083
Date de l’alerte : 29/11/2024
APERÇU :
Une vulnérabilité découverte dans le composant Kubelet de Kubernetes, permettrait à un acteur malveillant d’exécuter du code arbitraire sur les systèmes affectés.
DESCRIPTION :
Kubelet est un composant essentiel de Kubernetes qui fonctionne sur chaque nœud du cluster. Il est responsable de la gestion des conteneurs en surveillant leur état, en lançant et en arrêtant les pods, en effectuant des vérifications et en redémarrant les conteneurs défaillants lorsque nécessaire.
Ce composant est affecté par une vulnérabilité libellée CVE-2024-10220, liée à un défaut de contrôle des autorisations dans le volume gitRepo de Kubernetes kubelet. L’exploitation de cette faille permettrait à un acteur malveillant authentifié, de créer un pod associé à un volume gitRepo spécialement conçu et d’exécuter du code arbitraire sur le système hôte en dehors des limites du conteneur.
Cette vulnérabilité est classée élevée avec un score de sévérité de 8.1 selon le CVSS v3.1.
IMPACT :
- Atteinte à la confidentialité des données ;
- Compromission de l’intégrité du système ;
- Exécution de code arbitraire à distance.
SYSTÈMES AFFECTÉS :
- Kubelet versions antérieures à 1.28.12 ;
- Kubelet versions ultérieures à 1.29.0 et antérieures à 1.29.7 ;
- Kubelet versions ultérieures à 1.30.0 et antérieures à 1.30.3.
MESURES À PRENDRE :
Mettre à jour Kubelet vers les versions 1.28.12, 1.29.7, 1.30.3, 1.31.0 ou ultérieures.
RÉFÉRENCES :
