CVE-2021-32001 – K3s/RKE2 bootstrap data is encrypted with empty string if user does not supply a token

https://notcve.org/view.php?id=CVE-2021-32001

K3s in SUSE Rancher allows any user with direct access to the datastore, or a copy of a datastore backup, to extract the cluster's confidential keying material (cluster certificate authority private keys, secrets encryption configuration passphrase, etc.) and decrypt it, without having to know the token value. This issue affects: SUSE Rancher K3s version v1.19.12+k3s1, v1.20.8+k3s1, v1.21.2+k3s1 and prior versions; RKE2 version v1.19.12+rke2r1, v1.20.8+rke2r1, v1.21.2+rke2r1 and prior versions. K3s en SUSE Rancher permite a cualquier usuario con acceso directo al almacén de datos, o a una copia de seguridad del almacén de datos, extraer el material de clave confidencial del clúster (claves privadas de la autoridad de certificación del clúster, frase de contraseña de configuración de cifrado de secretos, etc.) y descifrarlo, sin tener que conocer el valor del token. Este problema afecta a: SUSE Rancher K3s versión v1.19.12+k3s1, v1.20.8+k3s1, v1.21.2+k3s1 y versiones anteriores; RKE2 versión v1.19.12+rke2r1, v1.20.8+rke2r1, v1.21.2+rke2r1 y versiones anteriores • https://bugzilla.suse.com/show_bug.cgi?id=1188453 • CWE-311: Missing Encryption of Sensitive Data •