Portainer 2.43.0 STS Security Release: SSRF Protection, Auth Fixes, and CVE Updates

漏洞概述 在Portainer 2.43.0 STS版本中，存在多个安全漏洞，主要涉及以下方面： 1. GitOps Sources： - 新增了Source Creation wizard、Source Detail screen和Source editing功能，但存在潜在的安全风险。 - 新增了Kubernetes Helm-from-git installs功能。 2. Podman支持： - Podman环境不支持auto-onboarding脚本。 - 无法通过socket添加Podman环境，当运行Portainer服务器在Docker上（反之亦然）。 - 仅支持CentOS 9和Podman 5 rootful。 3. 安全改进： - 新增了一次性设置令牌，用于创建第一个管理员账户或在新未初始化实例上恢复备份。 - 实现了SSRF保护机制，配置允许列表（off/audit/enforce模式）。 - 添加了端点授权检查，防止无访问权限的用户枚举Kubernetes资源。 - 修复了自定义模板用户访问检查，绕过资源控制定义，允许编辑/检查/删除授权忽略admin-only/public团队授予。 - 过滤GET命名空间结果，返回Forbidden给无法访问的命名空间。 - 更新了多个库版本以修复CVE漏洞。 影响范围 GitOps Sources： - 影响使用GitOps功能的用户。 Podman支持： - 影响使用Podman环境的用户。 安全改进： - 影响所有使用Portainer的用户，特别是涉及Kubernetes资源管理和用户权限控制的场景。 修复方案 1. GitOps Sources： - 确保使用最新版本的GitOps功能，并定期检查更新。 2. Podman支持： - 避免在Docker上运行Portainer服务器时添加Podman环境。 - 使用CentOS 9和Podman 5 rootful环境。 3. 安全改进： - 使用一次性设置令牌创建管理员账户或恢复备份。 - 配置SSRF保护机制，选择合适的模式（off/audit/enforce）。 - 确保端点授权检查正确配置，防止无权限用户枚举资源。 - 修复自定义模板用户访问检查，确保资源控制定义正确。 - 过滤GET命名空间结果，防止非法访问。 - 更新以下库版本以修复CVE漏洞： - 到 v0.55.0 - 到 v0.52.0 - 到 v1.43.0 - 到 v5.19.1 - 到 1.26.4 - 到 1.26.3 - 到 1.7.32 和 2.2.4 - 到 helm/v4.4.1.4 POC代码或利用代码 页面中未提供具体的POC代码或利用代码。 总结 Portainer 2.43.0 STS版本中存在多个安全漏洞，主要涉及GitOps Sources、Podman支持和安全改进方面。建议用户尽快更新相关库版本，并遵循上述修复方案，以确保系统的安全性。

目標達成すべての支援者に感謝 — 100%達成しました！

Portainer 2.43.0 STS Security Release: SSRF Protection, Auth Fixes, and CVE Updates

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Portainer 2.43.0 STS Security Release: SSRF Protection, Auth Fixes, and CVE Updates

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！