Se ha revelado una falla de seguridad cr\u00edtica en Kubernetes Image Builder que, si se explota con \u00e9xito, podr\u00eda aprovecharse para obtener acceso ra\u00edz en determinadas circunstancias.<\/p>\n
La vulnerabilidad, rastreada como CVE-2024-9486<\/strong><\/a> (Puntuaci\u00f3n CVSS: 9,8), se ha solucionado en la versi\u00f3n 0.1.38. Los responsables del proyecto agradecieron a Nicolai Rybnikar por descubrir e informar sobre la vulnerabilidad.<\/p>\n “Se descubri\u00f3 un problema de seguridad en Kubernetes Image Builder donde las credenciales predeterminadas se habilitan durante el proceso de creaci\u00f3n de im\u00e1genes”, Joel Smith de Red Hat. dicho<\/a> en una alerta.<\/p>\n “Adem\u00e1s, las im\u00e1genes de m\u00e1quinas virtuales creadas con el proveedor Proxmox no desactivan estas credenciales predeterminadas, y se puede acceder a los nodos que utilizan las im\u00e1genes resultantes a trav\u00e9s de estas credenciales predeterminadas. Las credenciales se pueden usar para obtener acceso ra\u00edz”.<\/p>\n Dicho esto, los cl\u00fasteres de Kubernetes solo se ven afectados por la falla si sus nodos usan im\u00e1genes de m\u00e1quinas virtuales (VM) creadas a trav\u00e9s del proyecto Image Builder con el proveedor Proxmox.<\/p>\n Como mitigaci\u00f3n temporal, se recomienda deshabilitar la cuenta de constructor en las m\u00e1quinas virtuales afectadas. Tambi\u00e9n se recomienda a los usuarios reconstruir las im\u00e1genes afectadas utilizando una versi\u00f3n fija de Image Builder y volver a implementarlas en las m\u00e1quinas virtuales.<\/p>\n La soluci\u00f3n implementada por el equipo de Kubernetes evita las credenciales predeterminadas para una contrase\u00f1a generada aleatoriamente que se establece durante la creaci\u00f3n de la imagen. Adem\u00e1s, la cuenta del creador se desactiva al final del proceso de creaci\u00f3n de la imagen.<\/p>\n Kubernetes Image Builder versi\u00f3n 0.1.38 tambi\u00e9n soluciona un problema tema relacionado<\/a> (CVE-2024-9594, puntuaci\u00f3n CVSS: 6,3) sobre las credenciales predeterminadas cuando se crean im\u00e1genes utilizando Nutanix, OVA, QEMU o proveedores sin formato.<\/p>\n La menor gravedad de CVE-2024-9594 se debe al hecho de que las m\u00e1quinas virtuales que utilizan las im\u00e1genes creadas con estos proveedores son solo afectado<\/a> “si un atacante pudo llegar a la m\u00e1quina virtual donde se estaba creando la imagen y utiliz\u00f3 la vulnerabilidad para modificar la imagen en el momento en que se estaba creando la imagen”.<\/p>\n El desarrollo se produce cuando Microsoft lanz\u00f3 parches del lado del servidor para tres fallas calificadas como cr\u00edticas: Dataverse, Imagine Cup y Power Platform que podr\u00edan conducir a una escalada de privilegios y divulgaci\u00f3n de informaci\u00f3n:<\/p>\n Tambi\u00e9n sigue a la divulgaci\u00f3n de una vulnerabilidad cr\u00edtica en el motor de b\u00fasqueda empresarial de c\u00f3digo abierto Apache Solr (CVE-2024-45216, puntuaci\u00f3n CVSS: 9,8) que podr\u00eda allanar el camino para una omisi\u00f3n de autenticaci\u00f3n en instancias susceptibles.<\/p>\n “Un final falso al final de cualquier ruta URL de la API de Solr permitir\u00e1 que las solicitudes omitan la autenticaci\u00f3n mientras se mantiene el contrato de API con la ruta URL original”, Aviso de GitHub<\/a> para los estados defectuosos. “Este final falso parece una ruta API desprotegida, sin embargo, se elimina internamente despu\u00e9s de la autenticaci\u00f3n pero antes del enrutamiento API”.<\/p>\n El problema, que afecta a las versiones de Solr 5.3.0 anteriores a 8.11.4, as\u00ed como a 9.0.0 anteriores a 9.7.0, se solucion\u00f3 en las versiones 8.11.4 y 9.7.0, respectivamente.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/Una-vulnerabilidad-critica-de-Kubernetes-Image-Builder-expone-los-nodos.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/center><\/div>\n