CVE-2019-11254mediumCWE-1050

CVE-2019-11254: falha de média gravidade em Kubernetes

Kubernetes API Server denial of service vulnerability from malicious YAML payloads

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Kubernetes+ Monitorar kubernetes

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.5epss 3.2%
Em resumo

O Servidor de API do Kubernetes pode ser forçado a consumir muitos recursos de CPU ao processar arquivos YAML especialmente criados, causando lentidão ou indisponibilidade do serviço. Um usuário autorizado pode explorar isso para interromper as capacidades de gerenciamento do cluster.

Detalhe técnico

CVE-2019-11254 é uma vulnerabilidade de negação de serviço no Kubernetes API Server (versões 1.1-1.14 e anteriores a 1.15.10, 1.16.7, 1.17.3) acionada por payloads YAML maliciosos enviados por usuários autenticados. A vulnerabilidade resulta de lógica ineficiente de análise de YAML que permite que entradas manipuladas consumam excessivamente ciclos de CPU, impactando a disponibilidade do servidor de API e operações do cluster.

Resumo gerado e traduzido por IA a partir da descrição oficial.
The Kubernetes API Server component in versions 1.1-1.14, and versions prior to 1.15.10, 1.16.7 and 1.17.3 allows an authorized user who sends malicious YAML payloads to cause the kube-apiserver to consume excessive CPU cycles while parsing YAML.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
Kubernetes · Kubernetes
CVEs relacionadas — Kubernetes

No mesmo produto, das mais perigosas para as menos.

CVE-2018-1002105CRITICALCVE-2018-1002105EPSS 87.0%CVE-2019-11248MEDIUMKubernetes kubelet exposes /debug/pprof info on healthz portEPSS 75.1%CVE-2019-11253HIGHKubernetes API Server JSON/YAML parsing vulnerable to resource exhaustion attackEPSS 25.9%CVE-2019-1002100MEDIUMCVE-2019-1002100EPSS 16.9%CVE-2017-1002101HIGHCVE-2017-1002101EPSS 13.3%CVE-2019-1002101MEDIUMkubectl cp path traversalEPSS 12.8%