OpenChoreo — это полноценная платформа разработки с открытым исходным кодом для Kubernetes. Начиная с 1.2.0-rc.1 до 1.2.0, Internal/openchoreo-api/api/handlers/exec.go и Internal/openchoreo-api/api/handlers/wirelogs.go авторизуют компонент:exec и Wirelogs:view с использованием параметра запроса проекта, предоставленного вызывающей стороной, вместо comp.Spec.Owner.ProjectName, что позволяет пользователю с грантом на уровне проекта выполнять команды и читать их. журналы проводов из компонентов, принадлежащих другим проектам в том же пространстве имен. Эта уязвимость исправлена в версии 1.2.0.
Показать оригинальное описание (EN)
OpenChoreo is a complete, open-source developer platform for Kubernetes. From 1.2.0-rc.1 until 1.2.0, internal/openchoreo-api/api/handlers/exec.go and internal/openchoreo-api/api/handlers/wirelogs.go authorize component:exec and wirelogs:view using the caller-supplied project query parameter instead of comp.Spec.Owner.ProjectName, allowing a user with a project-scoped grant to execute commands in and read wirelogs from components owned by other projects in the same namespace. This vulnerability is fixed in 1.2.0.
Характеристики атаки
Последствия
Строка CVSS v3.1