【漏洞通告】Sealos 身份验证不当漏洞（CVE-2023-33190）

一、漏洞概述

CVE   ID	CVE-2023-33190	发现时间	2023-07-03
类    型	认证不当	等    级	严重
攻击向量	网络	所需权限	低
攻击复杂度	低	用户交互	无
PoC/EXP		在野利用	未发现

Sealos 是一个基于 Kubernetes内核的开源云操作系统发行版。

7月3日，启明星辰VSRC监测到Sealos中修复了一个身份验证不当漏洞（CVE-2023-33190），该漏洞的CVSSv3评分为9.9。

Sealos版本4.2.1-rc4 之前，由于RBAC（基于角色的访问控制）权限配置不当，可能导致威胁者获得集群控制权限，从而控制使用Sealos部署的整个集群，以及集群中的数百个pod和其他资源，导致未授权访问、修改或信息泄露等。

二、影响范围

Sealos版本：< 4.2.1-rc4

三、安全措施

3.1 升级版本

目前该漏洞已经修复，受影响用户可升级到以下版本：

Sealos版本：>= 4.2.1-rc4

下载链接：

https://github.com/labring/sealos/tags

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://github.com/labring/sealos/security/advisories/GHSA-74j8-w7f9-pp62

https://github.com/labring/sealos/commit/4cdf52e55666864e5f90ed502e9fc13e18985b7b

原文始发于微信公众号（维他命安全）：【漏洞通告】Sealos 身份验证不当漏洞（CVE-2023-33190）