Оператор журналирования автоматизирует развертывание и настройку конвейеров журналирования Kubernetes. До версии 6.6.0 средство рендеринга конфигурации Fluentd FluentRender в pkg/sdk/logging/model/render/fluent.go записывает строки CRD, такие как значения Flow Record_transformer.records, непосредственно в fluent.conf без экранирования, что позволяет пользователю, который может создавать ресурсы Flow, внедрить блок Fluentd <match **> с помощью @type exec и выполнять произвольные команды внутри агрегатора Fluentd. Эта проблема исправлена в версии 6.6.0.
Показать оригинальное описание (EN)
Logging operator automates the deployment and configuration of Kubernetes logging pipelines. Prior to 6.6.0, the Fluentd configuration renderer FluentRender in pkg/sdk/logging/model/render/fluent.go writes CRD strings such as Flow record_transformer.records values directly into fluent.conf without escaping, allowing a user who can create Flow resources to inject a Fluentd <match **> block using @type exec and execute arbitrary commands inside the Fluentd aggregator. This issue is fixed in version 6.6.0.
Характеристики атаки
Последствия
Строка CVSS v3.1