注目★★★★★GitHub Advisory
Rancher Fleet の Webhook に認証回避と Regex インジェクション、即パッチ推奨
30秒で把握
- 1Rancher Fleet の Webhook が認証なしで設定されている場合、攻撃者がリクエスト認証を回避可能
- 2Regex インジェクションで任意リビジョンへのダウングレード・リソース枯渇を実行可能
- 3v0.15.2・v0.14.6・v0.13.11・v0.12.15 へのアップグレード、またはシークレット設定必須
要約
Rancher Fleet の Webhook エンドポイントが共有シークレットなしで設定されている場合、攻撃者は認証なしで偽造 Webhook リクエストを送信でき、Repository URL コンポーネントの Regex インジェクションを悪用される。攻撃者は対象 Git リポジトリの特定パスや構成を知らなくても Fleet にリクエストを処理させることができる。利用可能な任意の過去リビジョンへのダウングレードやリポジトリの継続的な再クローン (リソース枯渇) が可能になる。Fleet v0.15.2、v0.14.6、v0.13.11、v0.12.15 へのアップグレードでパッチが適用される。
あなたへの影響
Rancher Fleet を本番運用するチームは、Webhook に必ず共有シークレットを設定するか、パッチ版へのアップグレードを即実施すること。
推奨：シークレット未設定の場合、攻撃者がリソース枯渇やサービス機能の意図しないダウングレードを引き起こせる。