CVE-2024-3177
Contournement de la politique des secrets montables imposée par le plugin d'admission ServiceAccount
- Publié
- 22 avr. 2024
- Mise à jour
- 10 sept. 2024
- Attribution de CNA
- kubernetes
- Preuve observée
- 8 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:NFaible · 30 prochains jours
- Percentile
- 82,4 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Un problème de sécurité a été découvert dans Kubernetes, où les utilisateurs peuvent lancer des conteneurs qui contournent la politique de secrets montables appliquée par le plugin d'admission ServiceAccount lorsqu'ils utilisent des conteneurs, des conteneurs d'initialisation et des conteneurs éphémères avec le champ envFrom renseigné. La politique garantit que les pods exécutés avec un compte de service ne peuvent référencer que les secrets spécifiés dans le champ secrets du compte de service. Les clusters Kubernetes ne sont affectés que si le plugin d'admission ServiceAccount et l'annotation kubernetes.io/enforce-mountable-secrets sont utilisés ensemble avec des conteneurs, des conteneurs d'initialisation et des conteneurs éphémères dont le champ envFrom est renseigné.
Sources
- Metasploit-Module-TFMExploit
Module écrit en Ruby avec pour objectif d'exploiter les vulnérabilités CVE-2023-2728 et CVE-2024-3177, toutes deux liées à la politique de montage des secrets dans un cluster Kubernetes, au moyen d'un module Metasploit personnalisé. Il fait partie d'un projet de fin de Master en cybersécurité.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.