ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يدير Kargo ويروج تلقائيًا للقطع الأثرية البرمجية. من الإصدار 0.6.0 حتى 1.8.14 و 1.9.9 و 1.10.8، تسمح ثغرتان في التفويض ضمن `project-scoped RBAC API` لمستخدم مصادق عليه يمتلك إذناً مفوضاً لإدارة `Roles` أو `ServiceAccounts` الخاصة بالمشروع بمنح صلاحيات تتجاوز صلاحيات المستخدم نفسه. يمكن للمستخدم المُخول لتعديل `Roles` إنشاء قواعد أو استبدالها أو إضافتها التي تمنح صلاحيات لا يمتلكها المستخدم؛ ويمكن للمستخدم المُخول لتعديل حساب خدمة الدور ربط هوية، بما في ذلك هويته الخاصة، بدور أكثر قوة. يتكون دور Kargo من `ServiceAccount و Role و RoleBinding` في مساحة اسم المشروع. تتم كتابة التغييرات باستخدام بيانات الاعتماد ذات الصلاحيات الواسعة لخادم واجهة برمجة التطبيقات بعد فحص تعديل نوع المورد الخشن فقط، بدلاً من فحص كل صلاحية يتم منحها. يسمح هذا بالتصعيد إلى صلاحيات مسؤول المشروع، والكشف عن `Project Secrets` وبيانات الاعتماد، وتعديل أو حذف موارد المشروع. يمكن لبيانات اعتماد Git أو سجل الحاويات المسروقة توسيع تأثيرات سرية البيانات وسلامتها لتشمل تلك الأنظمة الخارجية. يظل التصعيد مقصورا على المشاريع التي يمتلك فيها المهاجم تفويضاً لإدارة التحكم بالوصول ولا يمنح بحد ذاته وصولاً على مستوى العنقود أو عبر المشاريع. لا تسمح الأدوار الافتراضية غير الإدارية بهذه العمليات؛ يتطلب الاستغلال `دوراً مخصصاً تم إنشاؤه بواسطة المسؤول` يمنح الصلاحيات ذات الصلة والتحكم في حساب تم تعيين هذا الدور له. تم إصلاح هذه المشكلة في الإصدارات 1.8.14 و 1.9.9 و 1.10.8.
المعالجة
المراجع
- مرجعhttps://github.com/akuity/kargo/commit/19639678811b486bddb014dabb25397771f3941e
- مرجعhttps://github.com/akuity/kargo/commit/50d29c10153965114f903645c83eadbe7bf58d3f
- مرجعhttps://github.com/akuity/kargo/commit/5ab7c4216a4151f55ea8ef9ff3b9f884dd322578
- مرجعhttps://github.com/akuity/kargo/commit/72fadd3600b35e6dce67042eb686720a48b45fa3
- مرجعhttps://github.com/akuity/kargo/releases/tag/v1.10.8
- مرجعhttps://github.com/akuity/kargo/releases/tag/v1.11.0-rc.1
- مرجعhttps://github.com/akuity/kargo/releases/tag/v1.8.14
- مرجعhttps://github.com/akuity/kargo/releases/tag/v1.9.9
- مرجعhttps://github.com/akuity/kargo/security/advisories/GHSA-wp4p-hr79-q4g8