Security

Helm, ein Paketmanager für Kubernetes, überprüft in den Versionen 4.0.0 bis 4.1.3 Signaturen von Plugins nicht korrekt und installiert unsignierte Plugins trotz aktivierter Signaturprüfung, wodurch schädliche Plugins beliebigen Code ausführen können.

Eine Sicherheitslücke in Helm (Kubernetes-Paketmanager) ermöglicht es bösartigen Plugins, beliebige Dateien auf dem System zu überschreiben, was zur Kompromittierung des gesamten Systems führen kann.

Eine Schwachstelle in containerd ermöglicht es bösartigen Containern mit Root-Rechten, neue Prozesse mit erhöhten Privilegien zu starten, wenn sie im gleichen Netzwerk-Namespace wie der Shim laufen.

Eine Schwachstelle in containerd Version 1.2.x ermöglicht es Angreifern, Registry-Anmeldedaten zu stehlen, indem sie bösartige Container-Images mit speziellen URLs veröffentlichen, die containerd dazu verleiten, Authentifizierungsdaten an vom Angreifer kontrollierte Server zu senden.

Ein Fehler in containerd's CRI-Implementierung kann dazu führen, dass Container, die dasselbe Image verwenden, falsche Umgebungsvariablen erhalten, wodurch sensible Informationen zwischen Containern mit unterschiedlichen Sicherheitskontexten geteilt werden können.

Ein Fehler in containerd ermöglicht es speziell präparierten Container-Images, die Dateiberechtigungen bestehender Dateien auf dem Host-System zu ändern, was den Zugriff für berechtigte Nutzer blockieren oder erweitern kann.

Ein Berechtigungsfehler in containerd ermöglichte es normalen Linux-Benutzern, auf Container-Verzeichnisse zuzugreifen und Programme mit erweiterten Rechten auszuführen oder Dateien zu lesen und zu ändern.

Containerd-Versionen vor 1.4.12 und 1.5.8 vertrauen HTTP Content-Type-Headern beim Laden von Container-Images, wodurch derselbe Image-Digest unterschiedlich interpretiert werden kann und die Eindeutigkeit der Image-Identifikation gefährdet wird.

Eine Schwachstelle in containerd ermöglicht es Containern auf Linux-Systemen mit SELinux, durch speziell konfigurierte Bind-Mounts beliebige Host-Dateien umzulabeln und dadurch vollen Lese-/Schreibzugriff darauf zu erhalten.

Ein Fehler in containerd ermöglicht es Containern mit speziell präparierten Konfigurationen, auf beliebige Dateien des Host-Systems zuzugreifen und dabei Sicherheitsrichtlinien zu umgehen.

Ein Fehler in containerd führte dazu, dass Container mit ungewöhnlichen Linux-Berechtigungen gestartet wurden, wodurch Programme innerhalb des Containers zusätzliche Systemberechtigungen erlangen konnten.

Ein Fehler in containerd ermöglicht es Programmen in Containern, unbegrenzt Arbeitsspeicher zu verbrauchen, wenn die ExecSync-Funktion verwendet wird, was den gesamten verfügbaren Speicher aufbrauchen und andere Dienste blockieren kann.

Ein Fehler in containerd's CRI-Implementierung ermöglicht es Benutzern, den Arbeitsspeicher des Hosts zu erschöpfen, indem fehlerhafte Befehle einen Goroutine-Speicherleck verursachen.

Ein Fehler in containerd führt dazu, dass zusätzliche Benutzergruppen in Containern nicht korrekt eingerichtet werden, wodurch Angreifer mit direktem Container-Zugang möglicherweise Gruppenbeschränkungen umgehen und auf sensible Daten zugreifen können.

Eine Schwachstelle in containerd ermöglicht es Angreifern, durch speziell präparierte Container-Images mit großen Dateien einen Denial-of-Service-Angriff auszuführen, da beim Import keine Größenbegrenzung für bestimmte Dateien existierte.

Containerd-Container können standardmäßig auf Hardware-Energieverbrauchsdaten zugreifen, was Angreifern ermöglicht, Sicherheitsfeatures wie Verschlüsselung durch Analyse des Stromverbrauchs zu umgehen.

Containerd erstellt wichtige Verzeichnisse mit zu offenen Berechtigungen, wodurch lokale Benutzer auf dem Host auf Container-Metadaten und Kubernetes-Volumes zugreifen können, was zur Rechteausweitung führen könnte.

Ein Fehler in containerd führt dazu, dass Container mit sehr großen Benutzer-IDs aufgrund eines Zahlenüberlaufs fälschlicherweise als Root-Benutzer ausgeführt werden, was Sicherheitsrichtlinien umgeht.

Ein Fehler in containerd's CRI Attach-Funktion führt zu Speicherlecks durch nicht ordnungsgemäß beendete Goroutinen. Wiederholte kubectl attach-Befehle können den Arbeitsspeicher des Hosts erschöpfen und das System verlangsamen oder zum Absturz bringen.

Ein Fehler in containerd führt dazu, dass Container mit Benutzernamensräumen nicht korrekt unter Kubernetes-Ressourcenlimits gestellt werden, wodurch diese Limits umgangen werden können und der Kubernetes-Knoten überlastet werden kann.

Eine Schwachstelle in containerd Version 2.1.0 ermöglicht es bösartigen Container-Images, beim Herunterladen beliebige Dateien auf dem Host-System zu verändern oder zu erstellen.

Ein Fehler in containerd führt dazu, dass Container mit großen numerischen User-IDs fälschlicherweise als root ausgeführt werden können, wodurch Sicherheitsbeschränkungen umgangen werden.

etcd, eine verteilte Datenbank, erstellt bestimmte Verzeichnisse mit eingeschränkten Berechtigungen, überprüft aber nicht, ob bereits existierende Verzeichnisse diese sicheren Berechtigungen haben, was zu unbeabsichtigtem Datenzugriff führen könnte.

Eine Schwachstelle in etcd ermöglicht es, dass beim Lesen von WAL-Einträgen ein ungültiger Index verwendet wird, was zu einem Absturz von etcd-Knoten während des Konsensverfahrens führen kann.

Eine Schwachstelle in etcd ermöglicht es Angreifern, manipulierte WAL-Dateien mit extrem großen Rahmengrößen zu erstellen, die das System zum Absturz bringen können, wenn andere Cluster-Teilnehmer versuchen, diese zu verarbeiten.

Eine Schwachstelle in etcd führt dazu, dass Authentifizierungsfehler unvollständig protokolliert werden, wenn Benutzer ohne Passwort versuchen sich anzumelden, was die Sicherheitsüberwachung erschwert.

Eine Schwachstelle in etcd erlaubt negative Werte für die Datenaufbewahrung, wodurch der Dienst in eine Endlosschleife gerät und übermäßig CPU verbraucht sowie Logs überfüllt.

Eine Schwachstelle in etcd führt dazu, dass der Dienst abstürzt, wenn bei der Service-Discovery eine negative Clustergröße angegeben wird.

Die etcd-Datenbank unterstützt unsichere Verschlüsselungsverfahren für TLS-Verbindungen, was die Kommunikationssicherheit schwächen könnte.

Die etcd-Datenbank überprüft nicht die Länge von Benutzerpasswörtern, wodurch extrem kurze Passwörter wie ein einzelnes Zeichen erlaubt sind, was Angreifern das Erraten oder Knacken durch Brute-Force-Angriffe erleichtert.

etcd speichert Benutzerdaten wie Passwörter unverschlüsselt in WAL-Logdateien auf der Festplatte, wodurch sensible Anmeldeinformationen preisgegeben werden können, wenn diese Dateien nicht ausreichend geschützt sind.

Eine Schwachstelle im etcd Gateway ermöglicht es, die Gateway-Adresse als Endpunkt zu konfigurieren, wodurch eine Endlosschleife entsteht die alle verfügbaren Dateideskriptoren aufbraucht und den Dienst zum Absturz bringt.

Die etcd-Gateway-Komponente validiert Endpunkte unvollständig und erlaubt Verbindungen zu Servern ohne TLS-Verschlüsselung über HTTPS-URLs, was zu unsicheren Verbindungen führen kann.

Eine Schwachstelle in etcd's Gateway-Funktion führt dazu, dass TLS-Authentifizierung nur für DNS-SRV-Endpunkte durchgeführt wird, aber nicht für manuell angegebene Endpunkte, was unsichere Verbindungen ermöglichen könnte.

Eine Schwachstelle in etcd's Gateway-Komponente führt dazu, dass Authentifizierungseinstellungen von Endpunkten nicht korrekt überprüft werden, wodurch unautorisierter Zugriff möglich sein könnte.

Eine Schwachstelle in etcd ermöglicht es Benutzern, Namen von Schlüsseln über die LeaseTimeToLive API zu sehen, auch wenn sie keine Leseberechtigung dafür haben, was zu unbeabsichtigter Informationspreisgabe führt.

Eine Schwachstelle in etcd ermöglicht es nicht autorisierten Nutzern, Authentifizierungs- und Autorisierungsprüfungen zu umgehen und bestimmte Funktionen aufzurufen, wodurch Cluster-Topologie eingesehen, Dienste gestört oder Daten dauerhaft gelöscht werden können.

Eine Schwachstelle in etcd ermöglicht es authentifizierten Benutzern, Zugriffskontrollen durch verschachtelte Transaktionen zu umgehen und auf alle gespeicherten Daten zuzugreifen, obwohl sie eigentlich nur eingeschränkte Berechtigungen haben.

Eine Schwachstelle in etcd ermöglicht es authentifizierten Benutzern, RBAC-Berechtigungsprüfungen zu umgehen und unbefugt auf Daten zuzugreifen oder Leases anzuhängen, indem sie bestimmte Transaktionsoperationen verwenden.

Eine Sicherheitslücke in Valkey ermöglicht es authentifizierten Benutzern, durch speziell gestaltete Lua-Skripte einen Pufferüberlauf zu verursachen, der zur Ausführung von Schadcode führen kann.

Eine Schwachstelle in Valkey ermöglicht es authentifizierten Benutzern mit ausreichenden Rechten, fehlerhafte ACL-Selektoren zu erstellen, die beim Zugriff einen Serverabsturz und Dienstausfall verursachen.

Eine Schwachstelle in der Valkey-Datenbank ermöglicht es angemeldeten Benutzern, den Service durch speziell gestaltete, sehr lange Textmuster zum Absturz zu bringen, was zu einem Denial-of-Service führt.

Eine Schwachstelle in der Valkey-Datenbank ermöglicht es nicht authentifizierten Angreifern, unbegrenzt Speicher zu verbrauchen, indem sie Ausgabepuffer zum Wachsen bringen, bis der Server abstürzt oder kein Speicher mehr verfügbar ist.

Eine Schwachstelle in der Valkey-Datenbank ermöglicht es authentifizierten Benutzern, durch speziell gestaltete Lua-Skripte Speicherfehler auszulösen und möglicherweise beliebigen Code auf dem Server auszuführen.

Ein Fehler in der Lua-Skript-Fehlerbehandlung von Valkey ermöglicht es böswilligen Nutzern, beliebige Daten in Antworten einzuschleusen und dadurch andere Nutzer derselben Verbindung mit manipulierten Daten zu versorgen.

Eine Schwachstelle in Valkey ermöglicht es Angreifern mit Zugang zum Clusterbus-Port, durch ungültige Pakete einen Speicherfehler auszulösen, der den Valkey-Prozess zum Absturz bringen kann.

Eine Schwachstelle in der Valkey-Datenbank ermöglicht es Angreifern mit Netzwerkzugang, den Server durch das Senden spezieller Anfragen zum Absturz zu bringen, da die Software den Netzwerkstatus nach leeren Anfragen nicht korrekt zurücksetzt.

MinIO-Objektspeicher enthält eine Schwachstelle, die es Angreifern ermöglicht, Admin-Funktionen ohne das erforderliche geheime Passwort auszuführen, wenn sie bereits einen Admin-Zugriffsschlüssel besitzen.

MinIO-Speichersoftware enthält eine Schwachstelle in der Browser-API, die es Angreifern ermöglicht, interne Serverdienste anzugreifen oder sensible Konfigurationsdaten auszulesen, indem sie URLs manipulieren.

MinIO-Speichersysteme mit mehreren Benutzern haben eine Sicherheitslücke bei der Verarbeitung von multipart/form-data-Uploads, die alle Multi-User-Installationen betrifft und mittlere Risiken verursacht.