Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
03/04/2019
Vulnerabilidad en kubernetes
Este nuevo fallo permitiría copiar ficheros no seleccionados en la máquina host fuera del directorio de trabajoLa vulnerabilidad radica en la forma de trabajar del comando cp de Kubernetes, que con objeto de copiar más rápido los ficheros desde un Pod a la máquina local se empaquetan con el comando tar dentro del Pod.
Un comando tar malicioso podría añadir otros archivos maliciosos además de los deseados, que se copiarán a otras rutas al desempaquetarse, pudiendo alterar ficheros del sistema o crear nuevos que comprometan el sistema y roben credenciales o información.
La vulnerabilidad ha sido parcheada por el fabricante y ya está disponible el parche para su actualización.
Referencias:
CVE-2019-1002101
Solución:Actualizar la versión de kubernetes a 1.14.0, 1.13.5, 1.12.7 o 1.11.9