CVE-2018-1002105critical

CVE-2018-1002105: fallo crítico en Kubernetes

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Kubernetes+ Monitorear kubernetes

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

75Vexday Risk Score

Haz seguimiento. Ella tiene prueba de concepto pública.

ssvc Attendcvss 9.8epss 87%
de la publicación al armael mismo día
Publicada en NVD5 dic
1ª PoC5 dic
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
1 producto (7 componentes)
Red Hat OpenShift Enterprise 3.0
workaround: See the vulnerability article for mitigation procedures.
Corregido
10 productos (236 componentes)
Red Hat OpenShift Container Platform 3.10 · Red Hat OpenShift Container Platform 3.7 · Red Hat OpenShift Container Platform 3.5 · Red Hat OpenShift Container Platform 3.6 · Red Hat OpenShift Container Platform 3.3 · y otros 5
corrección ↗
No afectado
3 productos (93 componentes) — porque el código vulnerable no está presente en el producto
Red Hat OpenShift Container Platform 3.11 · Red Hat OpenShift Container Platform 3.9 · Red Hat OpenShift Container Platform 3.8
In all Kubernetes versions prior to v1.10.11, v1.11.5, and v1.12.3, incorrect handling of error responses to proxied upgrade requests in the kube-apiserver allowed specially crafted requests to establish a connection through the Kubernetes API server to backend servers, then send arbitrary requests over the same connection directly to the backend, authenticated with the Kubernetes API server's TLS credentials used to establish the backend connection.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Kubernetes · Kubernetes
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Kubernetes

En el mismo producto, de las más peligrosas a las menos.

CVE-2019-11248MEDIUMKubernetes kubelet exposes /debug/pprof info on healthz portEPSS 75.1%CVE-2019-11253HIGHKubernetes API Server JSON/YAML parsing vulnerable to resource exhaustion attackEPSS 25.9%CVE-2019-1002100MEDIUMCVE-2019-1002100EPSS 16.9%CVE-2017-1002101HIGHCVE-2017-1002101EPSS 13.3%CVE-2019-1002101MEDIUMkubectl cp path traversalEPSS 12.8%CVE-2020-8554MEDIUMKubernetes man in the middle using LoadBalancer or ExternalIPsEPSS 8.7%