CVE-2022-24877
Publiée le 2022-05-06 · Dernière modification le 2026-06-17
Le kustomize-controller de Flux est affecté par une faille de traversée de répertoire (path traversal) qui permet à un attaquant de lire des fichiers sensibles du système de fichiers du pod du contrôleur. Un attaquant disposant d'un accès authentifié de bas niveau au cluster peut exploiter cette faille via le réseau, sans aucune interaction de l'utilisateur, pour potentiellement augmenter ses privilèges dans des environnements multi-tenants. Comme l'attaque est facile à exécuter une fois l'accès de base obtenu, il est recommandé de mettre à jour vers flux2 v0.29.0 ou une version ultérieure.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Flux is an open and extensible continuous delivery solution for Kubernetes. Path Traversal in the kustomize-controller via a malicious `kustomization.yaml` allows an attacker to expose sensitive data from the controller’s pod filesystem and possibly privilege escalation in multi-tenancy deployments. Workarounds include automated tooling in the user's CI/CD pipeline to validate `kustomization.yaml` files conform with specific policies. This vulnerability is fixed in kustomize-controller v0.24.0 and included in flux2 v0.29.0.