Vulnerabilidad en Meshery (CVE-2024-35181)

Meshery es un administrador nativo de la nube de código abierto que permite el diseño y la administración de infraestructura y aplicaciones basadas en Kubernetes. Una vulnerabilidad de inyección SQL en Meshery anterior a la versión 0.7.22 puede provocar la escritura arbitraria de archivos mediante el uso de un payload de consultas apiladas de inyección SQL y el comando ATTACH DATABASE. Además, los atacantes pueden acceder y modificar cualquier dato almacenado en la base de datos, como perfiles de rendimiento (que pueden contener cookies de sesión), datos de la aplicación Meshery o cualquier configuración de Kubernetes agregada al sistema. El proyecto Meshery expone la función `GetMeshSyncResourcesKinds` en la URL de API `/api/system/meshsync/resources/kinds`. El parámetro de consulta de pedido se utiliza directamente para crear una consulta SQL en `meshync_handler.go`. La versión 0.7.22 soluciona este problema.