OpenChoreo — это полноценная платформа разработки с открытым исходным кодом для Kubernetes. До версий 1.0.4, 1.1.4 и 1.2.0-rc.2 шаблоны OpenChoreo Workflow Plane в разделе sample/getting-started/workflow-templates/ интерполировали параметры рабочего процесса, контролируемые разработчиком, в текст программы оболочки, выполняемый через sh -c, вместо передачи значений черезContainer.env, что позволяло выполнять произвольные команды в модулях рабочего процесса, в то время как в затронутых привилегированных шаблонах Podman не было хоста HostUsers: false. Эта проблема исправлена в версиях 1.0.4, 1.1.4 и 1.2.0-rc.2.
Показать оригинальное описание (EN)
OpenChoreo is a complete, open-source developer platform for Kubernetes. Prior to 1.0.4, 1.1.4, and 1.2.0-rc.2, OpenChoreo Workflow Plane templates under samples/getting-started/workflow-templates/ interpolated developer-controlled workflow parameters into shell program text executed through sh -c instead of passing the values through container.env, allowing arbitrary commands to run in workflow pods while affected privileged Podman templates lacked hostUsers: false. This issue is fixed in versions 1.0.4, 1.1.4, and 1.2.0-rc.2.
Характеристики атаки
Последствия
Строка CVSS v3.1