Informazioni sul CVE-2023-29018

OpenFeature Operator vulnerable to Cluster-level Privilege Escalation

CWE ID: CWE-269

Base Score (CVSS): N/A

CVE: CVE-2023-29018

Descrizione: The OpenFeature Operator allows users to expose feature flags to applications. Assuming the pre-existence of a vulnerability that allows for arbitrary code execution, an attacker could leverage the lax permissions configured on `open-feature-operator-controller-manager` to escalate the privileges of any SA in the cluster. The increased privileges could be used to modify cluster state, leading to DoS, or read sensitive data, including secrets. Version 0.2.32 mitigates this issue by restricting the resources the `open-feature-operator-controller-manager` can modify.

Vettore di attacco CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

Punteggio CVSS

Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.

Punteggio Base (calcolato da AziendaSicura): 7.9 (High)

Riassunto: Accesso: Network, Privilegi: High, Interazione utente: None, Confidenzialità: High, Integrità: High, Disponibilità: High.

Dettaglio del Vettore

Metrica	Valore	Significato	Descrizione
Attack Vector (AV)	N	Network	L’attacco può essere eseguito da remoto attraverso la rete.
Attack Complexity (AC)	H	High	L’attacco richiede condizioni particolari o avanzate.
Privileges Required (PR)	H	High	Richiede privilegi elevati.
User Interaction (UI)	N	None	Non è richiesta interazione dell’utente.
Scope (S)	C	Changed	La vulnerabilità impatta su componenti esterni.
Confidentiality Impact (C)	H	High	Grave impatto sulla riservatezza.
Integrity Impact (I)	H	High	Grave impatto sull’integrità.
Availability Impact (A)	H	High	Rende il sistema inutilizzabile.

Riferimenti esterni

Prodotti interessati

open-feature – open-feature-operator

Relazioni con altri prodotti

Produttore:open-feature
Prodotto: open-feature-operator
Anno: 2023
CWE: CWE-269
CVSS: 0.0