Vulnerabilidad en Kubernetes (CVE-2023-51699)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-78 Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)

Fecha de publicación:

15/03/2024

Última modificación:

09/04/2025

Descripción

Fluid es un acelerador y orquestador de conjuntos de datos distribuidos nativo de Kubernetes de código abierto para aplicaciones con uso intensivo de datos. Una vulnerabilidad de inyección de comandos del sistema operativo dentro de JuicefsRuntime del proyecto Fluid puede potencialmente permitir que un usuario autenticado, que tiene la autoridad para crear o actualizar el conjunto de datos CRD/JuicefsRuntime de K8s, ejecute comandos arbitrarios del sistema operativo dentro de los contenedores relacionados con Juicefs. Esto podría dar lugar a un acceso no autorizado, modificación o eliminación de datos. Los usuarios que usan versiones &lt;0.9.3 con JuicefsRuntime deben actualizar a la v0.9.3.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.00 MEDIA
Vector: CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno