ADVERTENCIA: ¡HAY UNA SOLUCIÓN DISPONIBLE PARA CVE-2024-9486, UNA VULNERABILIDAD CRÍTICA DE RCE EN KUBERNETES IMAGEBUILDER! ¡PARCHE INMEDIATAMENTE!

CVE-2024-9486 es un problema de seguridad crítico (CVSS 9.8) descubierto en Kubernetes donde un usuario no autorizado puede conectarse mediante ssh a una máquina virtual de nodo que utiliza una imagen de máquina virtual creada con el proyecto Kubernetes Image Builder.

Se confirma que las máquinas virtuales que utilizan imágenes creadas con el proveedor Proxmox son vulnerables, utilizando credenciales predeterminadas. Estas máquinas virtuales no desactivan las credenciales predeterminadas y se puede acceder a los nodos que utilizan las imágenes resultantes a través de estas credenciales predeterminadas. Luego, las credenciales se pueden utilizar para obtener acceso de root.

Para las máquinas virtuales que utilizan imágenes creadas con Nutanix, OVA, QEMU o proveedores sin procesar, esta vulnerabilidad se calificó como Media (6.3) y se asignó CVE-2024-9594. En este caso, las máquinas virtuales son vulnerables durante el proceso de compilación y solo se ven afectadas si un atacante pudo llegar a la máquina virtual donde se estaba creando la imagen.

Las máquinas virtuales que utilizan imágenes creadas con todos los demás proveedores no se ven afectadas. Ambas vulnerabilidades afectan a la versión v0.1.37 o anterior.

Se recomienda reconstruir las imágenes afectadas utilizando la versión fija de Image Builder v0.1.38 y volver a implementar las imágenes fijas en las máquinas virtuales afectadas.