Kubernetes管理ツール「Karmada」に脆弱性 - 管理者権限奪われるおそれ

「Kubernetes」の管理ツールである「Karmada（Kubernetes Armada）」に脆弱性「CVE-2024-56513」が明らかとなった。

同ソフトウェアは、複数のKubernetesクラスタやクラウド上でアプリケーションを実行するための管理ツール。「karmadactl register」コマンドを使用して登録された「PULLモード」のクラスタが影響を受ける「CVE-2024-56513」が判明した。

制御プレーンリソースへのアクセス権が過剰に付与されていたことに起因し、悪用されると管理者権限が奪取されるおそれがある。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「8.7」、重要度を「高（High）」とレーティングした。

開発チームでは、2024年11月30日にリリースした「同1.12.0」にて同脆弱性を修正した。2025年1月5日時点で最新版は「同1.12.2」となっている。

（Security NEXT - 2025/01/06 ）ツイート