Уязвимость BDU:2024-04694
Идентификатор: BDU:2024-04694.
Наименование уязвимости: Уязвимость программного обеспечения управления кластерами Kubernets Rancher, связанная с отсутствием ограничения доступа к защищаемой информации, позволяющая нарушителю раскрыть защищаемые данные и получить административный контроль над кластером Kubernetes.
Описание уязвимости: Уязвимость программного обеспечения управления кластерами Kubernets Rancher связана с отсутствием ограничения доступа к защищаемой информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемые данные и получить административный контроль над кластером Kubernetes
Уязвимое ПО: Прикладное ПО информационных систем Rancher Labs Rancher до 2.8.5 | Прикладное ПО информационных систем Rancher Labs Rancher Kubernetes Engine (RKE) до 1.4.19 | Прикладное ПО информационных систем Rancher Labs Rancher Kubernetes Engine (RKE) до 1.5.10 | Прикладное ПО информационных систем Rancher Labs Rancher до 2.7.14 |
Наименование ОС и тип аппаратной платформы:
Дата выявления: 16.06.2024.
CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C
Уровень опасности уязвимости: Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)
Возможные меры по устранению:
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
— минимизация пользовательских привилегий;
— ограничение доступа к кластеру из внешних сетей (Интернет);
— использование средств межсетевого экранирования для ограничения возможности удаленного доступа;
— использование виртуальных частных сетей для организации удаленного доступа (VPN)
Использование рекомендаций производителя:
https://github.com/rancher/rancher/releases.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2023-32191.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://github.com/rancher/rancher/releases
https://github.com/rancher/rke/security/advisories/GHSA-6gr4-52w6-vmqx
https://securityonline.info/cve-2023-32191-cvss-10-in-rancher-kubernetes-engine-exposes-sensitive-credentials/
