GHSL-2023-136_Samson (CVE-2024-42363)

CVE编号

CVE-2024-42363

利用情况

暂无

补丁情况

N/A

披露时间

2024-08-21

漏洞描述

在版本3385之前，用户控制的角色参数进入Kubernetes::RoleVerificationsController应用程序。角色参数流入RoleConfigFile初始化器，然后流入Kubernetes::Util.parse_file方法中，在那里使用YAML.load_stream方法进行不安全反序列化。这个问题可能导致远程代码执行（RCE）。此漏洞已在版本3385中修复。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/zendesk/samson/blob/107efb4a252425966aac5e77d0c3670f9b5d72...
https://github.com/zendesk/samson/blob/107efb4a252425966aac5e77d0c3670f9b5d72...
https://github.com/zendesk/samson/blob/107efb4a252425966aac5e77d0c3670f9b5d72...
https://github.com/zendesk/samson/blob/107efb4a252425966aac5e77d0c3670f9b5d72...
https://github.com/zendesk/samson/pull/4071
https://securitylab.github.com/advisories/GHSL-2023-136_Samson/

CVSS3评分 8.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com