Ignition
Уязвимости
33
Эксплуатируемые
0
Макс. CVSS
7.5
Макс. EPSS
0.83433
Распределение по критичности
Критический
0
Высокий
17
Средний
15
Низкий
1
Затронутые диапазоны версий
< 2.14.0
Также сопоставлено как (исходные строки): ignition,enterprise_linux,openshift_container_platform
Топ уязвимостей
CVE-2024-1394Во фрагменте кода Golang, отвечающем за шифрование/дешифрование RSA, была обнаружена уязвимость, связанная с утечкой памяти, которая может привести к исчерпанию ресурсов при использовании входных данных, контролируемых злоумышленником. Утечка памяти происходит в github.com/golang-fips/openssl/openssl/rsa.go#L113. Утекшими объектами являются pkey и ctx. В этой функции используются именованные возвращаемые параметры для освобождения pkey и ctx в случае ошибки при инициализации контекста или установке различных свойств. Все операторы возврата, связанные со случаями ошибок, следуют шаблону "return nil, nil, fail(...)", что означает, что pkey и ctx будут nil внутри отложенной функции, которая должна их освободить.
CVE-2022-30631Неконтролируемая рекурсия в Reader.Read в compress/gzip до Go 1.17.12 и Go 1.18.4 позволяет злоумышленнику вызвать панику из-за исчерпания стека через архив, содержащий большое количество объединенных сжатых файлов нулевой длины.
CVE-2022-2880Запросы, пересылаемые ReverseProxy, включают необработанные параметры запроса из входящего запроса, включая непарсируемые параметры, отклоняемые net/http. Это может позволить скрытую инъекцию параметров запроса, когда прокси Go пересылает параметр с непарсируемым значением. После исправления ReverseProxy очищает параметры запроса в пересылаемом запросе, когда поле Form исходящего запроса задано после возврата функции ReverseProxy. Прокси, которые не парсят параметры запроса, продолжают пересылать исходные параметры без изменений.
CVE-2022-24921regexp.Compile в Go до 1.16.15 и 1.17.x до 1.17.8 допускает исчерпание стека из-за глубоко вложенного выражения.
CVE-2022-24675encoding/pem в Go до 1.17.9 и 1.18.x до 1.18.1 имеет переполнение стека Decode из-за большого объема данных PEM.
CVE-2022-23772Rat.SetString в math/big в Go до 1.16.14 и 1.17.x до 1.17.7 имеет переполнение, которое может привести к неконтролируемому потреблению памяти.
CVE-2022-1706Обнаружена уязвимость в Ignition, из-за которой конфигурации ignition доступны из непривилегированных контейнеров в виртуальных машинах, работающих на продуктах VMware. Эта проблема актуальна только в пользовательских средах, где конфигурация Ignition содержит секреты. Наивысшая угроза от этой уязвимости - конфиденциальность данных. Возможным обходным путем является отказ от размещения секретов в конфигурации Ignition.
CVE-2021-44716net/http в Go до версий 1.16.12 и 1.17.x до версии 1.17.5 допускает неконтролируемое потребление памяти в кэше канонизации заголовков через HTTP/2 запросы.
CVE-2021-33198В Go до 1.15.13 и 1.16.x до 1.16.5 может возникнуть паника из-за большой экспоненты для метода math/big.Rat SetString или UnmarshalText.
CVE-2021-33195Go до 1.15.13 и 1.16.x до 1.16.5 имеет функции для поиска DNS, которые не проверяют ответы от DNS-серверов, и, таким образом, возвращаемое значение может содержать небезопасную инъекцию (например, XSS), которая не соответствует формату RFC1035.
CVE-2020-28362Go до версий 1.14.12 и 1.15.x до 1.15.4 допускает отказ в обслуживании.
CVE-2020-16845Go до 1.13.15 и 14.x до 1.14.7 может иметь бесконечный цикл чтения в ReadUvarint и ReadVarint в encoding/binary через недопустимые входные данные.
CVE-2019-9514Некоторые реализации HTTP/2 уязвимы для reset-флуда, что потенциально приводит к отказу в обслуживании. Злоумышленник открывает несколько потоков и отправляет недействительный запрос по каждому потоку, который должен вызвать поток кадров RST_STREAM от пира. В зависимости от того, как пир ставит в очередь кадры RST_STREAM, это может потреблять избыточную память, ЦП или и то, и другое.
CVE-2019-9512Некоторые реализации HTTP/2 уязвимы для ping-флуда, что потенциально приводит к отказу в обслуживании. Злоумышленник отправляет непрерывные пинги HTTP/2 пиру, заставляя пира создавать внутреннюю очередь ответов. В зависимости от того, насколько эффективно эти данные ставятся в очередь, это может потреблять избыточные ресурсы ЦП, памяти или и то, и другое.
CVE-2022-2996В python-scciclient обнаружена ошибка при установлении HTTPS-соединения с сервером, где сертификат сервера не будет проверен. Эта проблема открывает соединение для возможных атак Man-in-the-middle (MITM).
CVE-2021-29923Go до версии 1.17 неправильно учитывает посторонние нули в начале октета IP-адреса, что (в некоторых ситуациях) позволяет злоумышленникам обходить контроль доступа, основанный на IP-адресах, из-за неожиданной восьмеричной интерпретации. Это влияет на net.ParseIP и net.ParseCIDR.
CVE-2022-23806Curve.IsOnCurve в crypto/elliptic в Go до 1.16.14 и 1.17.x до 1.17.7 может неправильно возвращать true в ситуациях со значением big.Int, которое не является допустимым элементом поля.
CVE-2024-24785Если ошибки, возвращенные методами MarshalJSON, содержат данные, контролируемые пользователем, они могут быть использованы для нарушения автоэкранирования контекста пакета html/template, что позволит последующим действиям внедрять неожиданный контент в шаблоны.
CVE-2023-2728Пользователи могут запустить контейнеры, которые обойдут политику монтируемых секретов, обеспечиваемую плагином принятия ServiceAccount, при использовании эфемерных контейнеров. Политика гарантирует, что поды, работающие с сервисной учетной записью, могут ссылаться только на секрета, указанные в поле секретов сервисной учетной записи. Кластеры Kubernetes затрагиваются только в том случае, если плагин принятия ServiceAccount и аннотация `kubernetes.io/enforce-mountable-secrets` используются вместе с эфемерными контейнерами.
CVE-2023-2727Пользователи могут иметь возможность запускать контейнеры, используя образы, ограниченные ImagePolicyWebhook при использовании эфемерных контейнеров. Кластеры Kubernetes затрагиваются только в том случае, если плагин пропуска изображения ImagePolicyWebhook используется вместе с эфемерными контейнерами.
CVE-2022-41715Программы, которые компилируют регулярные выражения из ненадёжных источников, могут быть уязвимы к исчерпанию памяти или отказу в обслуживании. Представление парсинга регулярных выражений является линейным по размеру входных данных, но в некоторых случаях постоянный фактор может быть так высоким, как 40 000, что делает относительно небольшие регулярные выражения потребляющими гораздо больше памяти. После исправления каждое парсинг регулярное выражение ограничивается объёмом памяти в 256 МБ. Регулярные выражения, представление которых использует больше места, чем это, отклоняются. Нормальное использование регулярных выражений не затрагивается.
CVE-2022-32189Слишком короткое закодированное сообщение может вызвать панику в Float.GobDecode и Rat GobDecode в math/big в Go до версий 1.17.13 и 1.18.5, что потенциально может привести к отказу в обслуживании.
CVE-2022-32148Неправильное раскрытие IP-адресов клиентов в net/http до Go 1.17.12 и Go 1.18.4 может быть вызвано вызовом httputil.ReverseProxy.ServeHTTP с картой Request.Header, содержащей нулевое значение для заголовка X-Forwarded-For, что приводит к тому, что ReverseProxy устанавливает IP-адрес клиента в качестве значения заголовка X-Forwarded-For.
CVE-2022-1705Принятие некоторых недопустимых заголовков Transfer-Encoding в HTTP/1 клиенте в net/http до Go 1.17.12 и Go 1.18.4 позволяет осуществлять контрабанду HTTP-запросов, если это сочетается с промежуточным сервером, который также неправильно не отклоняет заголовок как недопустимый.
CVE-2021-34558Пакет crypto/tls Go версий до 1.16.5 неправильно утверждает, что тип открытого ключа в сертификате X.509 соответствует ожидаемому типу при выполнении обмена ключами на основе RSA, что позволяет вредоносному TLS-серверу вызвать панику TLS-клиента.