Weave GitOps 存在访问控制不当漏洞

漏洞描述

Weave GitOps 是对 Flux 的扩展，提供对应用程序的部署和监控以及提高 GitOps 持续交付的便捷性。

Weave GitOps 的本地 S3 存储桶用于同步应用于 Kubernetes 集群的文件，由于受影响版本中的 S3 存储桶端点没有阻止未经授权访问，未经过 S3 存储桶或目标 Kubernetes 集群身份验证的本地攻击者可查看和更改 S3 存储桶中的内容，进而将恶意负载通过 S3 存储桶注入到目标 Kubernetes 集群中并远程部署。

漏洞名称	Weave GitOps 存在访问控制不当漏洞
漏洞类型	-
发现时间	2023-01-10
漏洞影响广度	极小
MPS编号	MPS-2022-1935
CVE编号	CVE-2022-23508
CNVD编号	-

影响范围

github.com/weaveworks/weave-gitops@[0.0.1, 0.12.0)

修复方案

升级github.com/weaveworks/weave-gitops到 0.12.0 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-1935

https://nvd.nist.gov/vuln/detail/CVE-2022-23508

https://github.com/weaveworks/weave-gitops/security/advisories/GHSA-wr3c-g326-486c

https://github.com/weaveworks/weave-gitops/pull/3114/commits/75268c4d2c8f7e4db22c63d76b451ba6545d117f

https://github.com/weaveworks/weave-gitops/pull/3102/commits/966823bbda8c539a4661e2a4f8607c9307ba6225

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc