Le point de terminaison des journaux d’exécution de Kubeflow Pipelines ne vérifie pas que l’appelant est autorisé à lire les journaux de l’exécution visée ; selon les permissions du serveur, il peut aussi retourner les journaux d’un pod sans lien avec cette exécution. L’avis indique que le correctif est disponible dans Kubeflow Pipelines 2.18.0 et recommande, en attendant la mise à niveau, de restreindre l’accès à ce point de terminaison.
Source : Avis GitHub — GHSA-wg5q-x4j9-qm54
Analyse technique
L’avis décrit un contrôle d’autorisation manquant pour les journaux en direct et archivés, et une vérification manquante de l’appartenance du pod à l’exécution demandée. Le correctif ajoute l’autorisation readLog et, pour les journaux en direct, vérifie l’étiquette pipeline/runid du pod.
Impact, versions et correctif
Détection / vérification
Vérifier l’exposition de l’API Kubeflow Pipelines et les droits d’accès au point de terminaison des journaux des exécutions.
Action recommandée
Mettre à niveau vers Kubeflow Pipelines 2.18.0 ou ultérieur et vérifier que les rôles Kubernetes personnalisés accordent readLog uniquement aux utilisateurs autorisés.
Sources
Priorisation DFS : P3 · 1 source(s).