ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
مشغل OSAC هو مشغل Kubernetes. في المراجعة المتأثرة المحددة باسم 8220502، يقوم `RemoteConfigResolver` الخاص بـ `console-proxy` بتحليل بيانات kubeconfig الخاصة بـ Kubernetes Secret باستخدام `clientcmd.RESTConfigFromKubeConfig` دون تطهير `rest.Config` الناتج. يمكن لمهاجم قادر على إنشاء أو تعديل Secret تحمل العلامة `osac.openshift.io/remote-cluster-kubeconfig`: "true" في مساحة اسم يمنح فيها `RoleBinding` الخاص بالوكيل صلاحية قراءة Secrets تزويد `users[].user.exec`. عندما يقوم `rest.TransportFor` بنناء نقل HTTP لاتصال WebSocket صاعد، يستدعي client-go مكون بيانات اعتماد التنفيذ هذا، مما يؤدي إلى تشغيل عملية عشوائية كحساب خدمة osac-`console-proxy` داخل الوجود (pod). يتيح `clusters[].server` المُتحكم به من قِبل المهاجم أيضًا تزوير الطلبات من جانب الخادم من وجود الوكيل. تتأثر وضعيتا مجموعات الأجهزة الظاهرية البعيدة والتلقائية، حيث تكون الوضعية التلقائية هي الافتراضية؛ بينما لا تقرأ الوضعية `local` حصريًا بيانات اعتماد Kubeconfig Secrets ولا تتأثر. تم تصحيح مسار تنفيذ المكون الإضافي لبيانات الاعتماد في الالتزام 7e4222b؛ ولا يعالج هذا التصحيح مسار SSRF الخاص بعنوان الخادم المذكور.
المعالجة
المراجع
- مرجعhttps://github.com/osac-project/osac-operator/commit/7e4222b6ab465fc00606c8cfed980b226820cb1b
- مرجعhttps://github.com/osac-project/osac-operator/commit/86466378aa3603253dca7fa2f59a2733af0dc092
- مرجعhttps://github.com/osac-project/osac-operator/pull/321
- مرجعhttps://github.com/osac-project/osac-operator/security/advisories/GHSA-5w5g-j6hw-6p8f