CVE-2022-31692

Spring Security, las versiones 5.7 anteriores a 5.7.5 y 5.6 anteriores a 5.6.9 podrían ser susceptibles a que las reglas de autorización se omitan mediante reenvío o incluyan tipos de despachadores. Específicamente, una aplicación es vulnerable cuando se cumple todo lo siguiente: La aplicación espera que Spring Security aplique seguridad para reenviar e incluir tipos de despachadores. La aplicación utiliza AuthorizationFilter manualmente o mediante el método AuthorizeHttpRequests(). La aplicación configura FilterChainProxy para aplicarlo a solicitudes de reenvío y/o inclusión (e.g. spring.security.filter.dispatcher-types = request, error, async, forward, include). La aplicación puede reenviar o incluir la solicitud a endpoint con privilegios más altos. La aplicación configura Spring Security para aplicar a cada tipo de despachador a través de AuthorizeHttpRequests().shouldFilterAllDispatcherTypes(true)

A flaw was found in the spring-security framework. Spring Security could allow a remote attacker to bypass security restrictions caused by an issue when using forward or include dispatcher types. By sending a specially-crafted request, an attacker can bypass authorization rules.

Multicluster Engine for Kubernetes 2.2.4 images Multicluster engine for Kubernetes provides the foundational components that are necessary for the centralized management of multiple Kubernetes-based clusters across data centers, public clouds, and private clouds. You can use the engine to create new Red Hat OpenShift Container Platform clusters or to bring existing Kubernetes-based clusters under management by importing them. After the clusters are managed, you can use the APIs that are provided by the engine to distribute configuration based on placement policy.