CVE-2023-38495

WysokieCVSS 8.3

Opublikowano: 27/07/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.72%

Percentyl 49 - wyżej niż 49% wszystkich znanych CVE

Streszczenie

W wersjach wcześniejszych niż 1.11.5, 1.12.3 i 1.13.0, backend obrazów Crossplane nie weryfikuje zawartości bajtowej pakietów, co pozwala atakującym na manipulację nimi bez wykrycia. Problem został naprawiony w wersjach 1.11.5, 1.12.3 i 1.13.0.

Ocena ryzyka

Brak weryfikacji pakietów może prowadzić do wprowadzenia złośliwego kodu do środowiska, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się aktualizację do wersji 1.11.5, 1.12.3 lub 1.13.0 oraz ograniczenie uprawnień do edytowania i tworzenia pakietów tylko do administratorów.

Inne podatności w Crossplane

CVE-2023-37900Niskie
W wersjach przed 1.11.5, 1.12.3 i 1.13.0 Crossplane umożliwia użytkownikom o wysokich uprawnieniach tworzenie pakietów, które mogą odnosić się do dowolnie dużych obrazów. Może to prowadzić do wyczerpania dostępnej pamięci i spowodować, że kontener zostanie zabity z powodu braku pamięci (OOMKilled).

Oryginalny opis (angielski, źródło NVD)

Crossplane is a framework for building cloud native control planes without needing to write code. In versions prior to 1.11.5, 1.12.3, and 1.13.0, Crossplane's image backend does not validate the byte contents of Crossplane packages. As such, Crossplane does not detect if an attacker has tampered with a Package. The problem has been fixed in 1.11.5, 1.12.3 and 1.13.0. As a workaround, only use images from trusted sources and keep Package editing/creating privileges to administrators only.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS