CVE-2024-7558
Publiée le 2024-10-02 · Dernière modification le 2026-06-17
Les installations de machines Juju et les conteneurs de charms sont affectées par un secret d'authentification prévisible. Un utilisateur non privilégié ayant un accès local au même espace de noms réseau (network namespace) peut deviner ce secret pour obtenir les mêmes permissions et le même accès aux outils que le charm Juju. Comme cela ne nécessite qu'un accès local et aucune interaction de l'utilisateur, il est relativement facile pour un utilisateur local malveillant d'élever ses privilèges.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
JUJU_CONTEXT_ID is a predictable authentication secret. On a Juju machine (non-Kubernetes) or Juju charm container (on Kubernetes), an unprivileged user in the same network namespace can connect to an abstract domain socket and guess the JUJU_CONTEXT_ID value. This gives the unprivileged user access to the same information and tools as the Juju charm.