Критична вразливість в Prowler до 5.36.0 дозволяє виконання команд через Kubernetes провайдера

Що відомо

У Prowler до версії 5.36.0 існувала критична вразливість (CVE-2026-73263), що дозволяла виконувати довільні команди через Kubernetes провайдера при обробці kubeconfig з застарілим GCP auth-provider. Це могло призвести до виконання коду на спільному робочому сервері.

Бізнес-вплив

Вразливість з критичним рейтингом CVSS 9.9 може дозволити зловмиснику виконувати довільні команди на сервері, що обробляє Kubernetes провайдера в Prowler. Це створює серйозну загрозу для безпеки контейнерної інфраструктури та може призвести до компрометації системи та витоку даних.

Рекомендовані дії адміністратора

Рекомендується негайно оновити Prowler до версії 5.36.0 або новішої, де ця вразливість виправлена. Якщо оновлення неможливе, слід обмежити доступ до API провайдера Kubernetes, перевірити логи на ознаки експлуатації та зменшити мережеву експозицію. Для додаткової підтримки рекомендуємо звернутися до DataHouse для перевірки версій, управління патчами та аналізу журналів безпеки.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference