Vulnerabilities found for api-server:2.3.0

[ckfbot]

Vulnerabilities found for api-server:2.3.0

For OSS Maintainers: VEX Notice
--------------------------------
If you're an OSS maintainer and Trivy has detected vulnerabilities in your project that you believe are not actually exploitable, consider issuing a VEX (Vulnerability Exploitability eXchange) statement.
VEX allows you to communicate the actual status of vulnerabilities in your project, improving security transparency and reducing false positives for your users.
Learn more and start using VEX: https://aquasecurity.github.io/trivy/v0.56/docs/supply-chain/vex/repo#publishing-vex-documents

To disable this notice, set the TRIVY_DISABLE_VEX_NOTICE environment variable.


charmedkubeflow/api-server:2.3.0-5e9542c (ubuntu 22.04)
=======================================================
Total: 0 (HIGH: 0, CRITICAL: 0)


argo (gobinary)
===============
Total: 4 (HIGH: 2, CRITICAL: 2)

┌─────────────────────┬────────────────┬──────────┬────────┬───────────────────┬─────────────────┬────────────────────────────────────────────────────────────┐
│       Library       │ Vulnerability  │ Severity │ Status │ Installed Version │  Fixed Version  │                           Title                            │
├─────────────────────┼────────────────┼──────────┼────────┼───────────────────┼─────────────────┼────────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ CVE-2024-45337 │ CRITICAL │ fixed  │ v0.22.0           │ 0.31.0          │ golang.org/x/crypto/ssh: Misuse of                         │
│                     │                │          │        │                   │                 │ ServerConfig.PublicKeyCallback may cause authorization     │
│                     │                │          │        │                   │                 │ bypass in golang.org/x/crypto                              │
│                     │                │          │        │                   │                 │ https://avd.aquasec.com/nvd/cve-2024-45337                 │
├─────────────────────┼────────────────┼──────────┤        ├───────────────────┼─────────────────┼────────────────────────────────────────────────────────────┤
│ golang.org/x/net    │ CVE-2024-45338 │ HIGH     │        │ v0.23.0           │ 0.33.0          │ golang.org/x/net/html: Non-linear parsing of               │
│                     │                │          │        │                   │                 │ case-insensitive content in golang.org/x/net/html          │
│                     │                │          │        │                   │                 │ https://avd.aquasec.com/nvd/cve-2024-45338                 │
├─────────────────────┼────────────────┼──────────┤        ├───────────────────┼─────────────────┼────────────────────────────────────────────────────────────┤
│ stdlib              │ CVE-2024-24790 │ CRITICAL │        │ 1.21.9            │ 1.21.11, 1.22.4 │ golang: net/netip: Unexpected behavior from Is methods for │
│                     │                │          │        │                   │                 │ IPv4-mapped IPv6 addresses                                 │
│                     │                │          │        │                   │                 │ https://avd.aquasec.com/nvd/cve-2024-24790                 │
│                     ├────────────────┼──────────┤        │                   ├─────────────────┼────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-34156 │ HIGH     │        │                   │ 1.22.7, 1.23.1  │ encoding/gob: golang: Calling Decoder.Decode on a message  │
│                     │                │          │        │                   │                 │ which contains deeply nested structures...                 │
│                     │                │          │        │                   │                 │ https://avd.aquasec.com/nvd/cve-2024-34156                 │
└─────────────────────┴────────────────┴──────────┴────────┴───────────────────┴─────────────────┴────────────────────────────────────────────────────────────┘

usr/bin/apiserver (gobinary)
============================
Total: 12 (HIGH: 11, CRITICAL: 1)

┌─────────────────────┬────────────────┬──────────┬────────┬───────────────────┬──────────────────────────────────────────┬──────────────────────────────────────────────────────────────┐
│       Library       │ Vulnerability  │ Severity │ Status │ Installed Version │              Fixed Version               │                            Title                             │
├─────────────────────┼────────────────┼──────────┼────────┼───────────────────┼──────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ CVE-2024-45337 │ CRITICAL │ fixed  │ v0.22.0           │ 0.31.0                                   │ golang.org/x/crypto/ssh: Misuse of                           │
│                     │                │          │        │                   │                                          │ ServerConfig.PublicKeyCallback may cause authorization       │
│                     │                │          │        │                   │                                          │ bypass in golang.org/x/crypto                                │
│                     │                │          │        │                   │                                          │ https://avd.aquasec.com/nvd/cve-2024-45337                   │
├─────────────────────┼────────────────┼──────────┤        ├───────────────────┼──────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/net    │ CVE-2024-45338 │ HIGH     │        │ v0.21.0           │ 0.33.0                                   │ golang.org/x/net/html: Non-linear parsing of                 │
│                     │                │          │        │                   │                                          │ case-insensitive content in golang.org/x/net/html            │
│                     │                │          │        │                   │                                          │ https://avd.aquasec.com/nvd/cve-2024-45338                   │
├─────────────────────┼────────────────┤          │        ├───────────────────┼──────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ k8s.io/kubernetes   │ CVE-2019-11253 │          │        │ v1.11.1           │ 1.13.12, 1.14.8, 1.15.5, 1.16.2          │ kubernetes: YAML parsing vulnerable to "Billion Laughs"      │
│                     │                │          │        │                   │                                          │ attack, allowing for remote denial...                        │
│                     │                │          │        │                   │                                          │ https://avd.aquasec.com/nvd/cve-2019-11253                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2020-8558  │          │        │                   │ 1.18.4, 1.17.7, 1.16.11                  │ kubernetes: node localhost services reachable via martian    │
│                     │                │          │        │                   │                                          │ packets                                                      │
│                     │                │          │        │                   │                                          │ https://avd.aquasec.com/nvd/cve-2020-8558                    │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2021-25741 │          │        │                   │ 1.19.15, 1.20.11, 1.21.5, 1.22.2         │ kubernetes: Symlink exchange can allow host filesystem       │
│                     │                │          │        │                   │                                          │ access                                                       │
│                     │                │          │        │                   │                                          │ https://avd.aquasec.com/nvd/cve-2021-25741                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-3676  │          │        │                   │ 1.28.1, 1.27.5, 1.26.8, 1.25.13, 1.24.17 │ kubernetes: Insufficient input sanitization on Windows nodes │
│                     │                │          │        │                   │                                          │ leads to privilege escalation                                │
│                     │                │          │        │                   │                                          │ https://avd.aquasec.com/nvd/cve-2023-3676                    │
│                     ├────────────────┤          │        │                   │                                          ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-3955  │          │        │                   │                                          │ kubernetes: Insufficient input sanitization on Windows nodes │
│                     │                │          │        │                   │                                          │ leads to privilege escalation                                │
│                     │                │          │        │                   │                                          │ https://avd.aquasec.com/nvd/cve-2023-3955                    │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-5528  │          │        │                   │ 1.28.4, 1.27.8, 1.26.11, 1.25.16         │ kubernetes: Insufficient input sanitization in in-tree       │
│                     │                │          │        │                   │                                          │ storage plugin leads to privilege escalation...              │
│                     │                │          │        │                   │                                          │ https://avd.aquasec.com/nvd/cve-2023-5528                    │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-0793  │          │        │                   │ 1.27.0-alpha.1                           │ kube-controller-manager: malformed HPA v1 manifest causes    │
│                     │                │          │        │                   │                                          │ crash                                                        │
│                     │                │          │        │                   │                                          │ https://avd.aquasec.com/nvd/cve-2024-0793                    │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-10220 │          │        │                   │ 1.28.12, 1.29.7, 1.30.3                  │ kubernetes: Arbitrary command execution through gitRepo      │
│                     │                │          │        │                   │                                          │ volume                                                       │
│                     │                │          │        │                   │                                          │ https://avd.aquasec.com/nvd/cve-2024-10220                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-5321  │          │        │                   │ 1.27.16, 1.28.12, 1.29.7, 1.30.3         │ kubelet: Incorrect permissions on Windows containers logs    │
│                     │                │          │        │                   │                                          │ https://avd.aquasec.com/nvd/cve-2024-5321                    │
├─────────────────────┼────────────────┤          │        ├───────────────────┼──────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ stdlib              │ CVE-2024-34156 │          │        │ 1.21.13           │ 1.22.7, 1.23.1                           │ encoding/gob: golang: Calling Decoder.Decode on a message    │
│                     │                │          │        │                   │                                          │ which contains deeply nested structures...                   │
│                     │                │          │        │                   │                                          │ https://avd.aquasec.com/nvd/cve-2024-34156                   │
└─────────────────────┴────────────────┴──────────┴────────┴───────────────────┴──────────────────────────────────────────┴──────────────────────────────────────────────────────────────┘

usr/bin/go-licenses (gobinary)
==============================
Total: 7 (HIGH: 6, CRITICAL: 1)

┌─────────────────────┬────────────────┬──────────┬────────┬────────────────────────────────────┬───────────────────────────────────┬──────────────────────────────────────────────────────────────┐
│       Library       │ Vulnerability  │ Severity │ Status │         Installed Version          │           Fixed Version           │                            Title                             │
├─────────────────────┼────────────────┼──────────┼────────┼────────────────────────────────────┼───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ CVE-2024-45337 │ CRITICAL │ fixed  │ v0.0.0-20220112180741-5e0467b6c7ce │ 0.31.0                            │ golang.org/x/crypto/ssh: Misuse of                           │
│                     │                │          │        │                                    │                                   │ ServerConfig.PublicKeyCallback may cause authorization       │
│                     │                │          │        │                                    │                                   │ bypass in golang.org/x/crypto                                │
│                     │                │          │        │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2024-45337                   │
│                     ├────────────────┼──────────┤        │                                    ├───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2022-27191 │ HIGH     │        │                                    │ 0.0.0-20220314234659-1baeb1ce4c0b │ golang: crash in a golang.org/x/crypto/ssh server            │
│                     │                │          │        │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2022-27191                   │
├─────────────────────┼────────────────┤          │        ├────────────────────────────────────┼───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/net    │ CVE-2022-27664 │          │        │ v0.0.0-20211112202133-69e39bad7dc2 │ 0.0.0-20220906165146-f3363e06e74c │ golang: net/http: handle server errors after sending GOAWAY  │
│                     │                │          │        │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2022-27664                   │
│                     ├────────────────┤          │        │                                    ├───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2022-41723 │          │        │                                    │ 0.7.0                             │ golang.org/x/net/http2: avoid quadratic complexity in HPACK  │
│                     │                │          │        │                                    │                                   │ decoding                                                     │
│                     │                │          │        │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2022-41723                   │
│                     ├────────────────┤          │        │                                    ├───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-39325 │          │        │                                    │ 0.17.0                            │ golang: net/http, x/net/http2: rapid stream resets can cause │
│                     │                │          │        │                                    │                                   │ excessive work (CVE-2023-44487)                              │
│                     │                │          │        │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2023-39325                   │
│                     ├────────────────┤          │        │                                    ├───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-45338 │          │        │                                    │ 0.33.0                            │ golang.org/x/net/html: Non-linear parsing of                 │
│                     │                │          │        │                                    │                                   │ case-insensitive content in golang.org/x/net/html            │
│                     │                │          │        │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2024-45338                   │
├─────────────────────┼────────────────┤          │        ├────────────────────────────────────┼───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ stdlib              │ CVE-2024-34156 │          │        │ 1.21.13                            │ 1.22.7, 1.23.1                    │ encoding/gob: golang: Calling Decoder.Decode on a message    │
│                     │                │          │        │                                    │                                   │ which contains deeply nested structures...                   │
│                     │                │          │        │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2024-34156                   │
└─────────────────────┴────────────────┴──────────┴────────┴────────────────────────────────────┴───────────────────────────────────┴──────────────────────────────────────────────────────────────┘

Details: https://github.com/canonical/pipelines-rocks/actions/runs/12539407384

[syncronize-issues-to-jira]

Thank you for reporting us your feedback!

The internal ticket has been created: https://warthogs.atlassian.net/browse/KF-6584.

This message was autogenerated