Fix sec 54

[w13915984028]

https://github.com/harvester/security/issues/54

local test:

before:

rancher/harvester-load-balancer-webhook:e33db29-amd64 (suse linux enterprise server 15.6)
=========================================================================================
Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)


usr/bin/harvester-load-balancer-webhook (gobinary)
==================================================
Total: 12 (UNKNOWN: 0, LOW: 1, MEDIUM: 6, HIGH: 5, CRITICAL: 0)

┌──────────────────────────────────────────────────────────────┬─────────────────────┬──────────┬──────────┬────────────────────────────────────┬───────────────────────────────────┬──────────────────────────────────────────────────────────────┐
│                           Library                            │    Vulnerability    │ Severity │  Status  │         Installed Version          │           Fixed Version           │                            Title                             │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┼──────────┼────────────────────────────────────┼───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/rancher/apiserver                                 │ CVE-2023-32192      │ HIGH     │ fixed    │ v0.0.0-20230120214941-e88c32739dc7 │ 0.0.0-20240207153957-4fd7d821d952 │ Rancher API Server Cross-site Scripting Vulnerability        │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2023-32192                   │
├──────────────────────────────────────────────────────────────┼─────────────────────┤          │          ├────────────────────────────────────┼───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/rancher/norman                                    │ CVE-2023-32193      │          │          │ v0.0.0-20221205184727-32ef2e185b99 │ 0.0.0-20240207153100-3bb70b772b52 │ Norman API Cross-site Scripting Vulnerability                │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2023-32193                   │
├──────────────────────────────────────────────────────────────┼─────────────────────┤          │          ├────────────────────────────────────┼───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/rancher/rancher                                   │ CVE-2019-12274      │          │          │ v0.0.0-20230124173128-2207cfed1803 │ 2.2.4, 1.6.27                     │ Rancher Privilege Escalation Vulnerability                   │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2019-12274                   │
│                                                              ├─────────────────────┤          │          │                                    ├───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2021-36775      │          │          │                                    │ 2.4.18, 2.5.12, 2.6.3             │ Rancher's Failure to delete orphaned role bindings does not  │
│                                                              │                     │          │          │                                    │                                   │ revoke project level...                                      │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2021-36775                   │
│                                                              ├─────────────────────┼──────────┼──────────┤                                    ├───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2019-11881      │ MEDIUM   │ affected │                                    │                                   │ Rancher Login Parameter Can Be Edited                        │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2019-11881                   │
│                                                              ├─────────────────────┤          ├──────────┤                                    ├───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2021-25313      │          │ fixed    │                                    │ 2.5.6, 2.4.14, 2.3.11             │ Rancher Cross-site Scripting Vulnerability                   │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2021-25313                   │
│                                                              ├─────────────────────┼──────────┤          │                                    ├───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ GHSA-wm2r-rp98-8pmh │ LOW      │          │                                    │ 2.5.13, 2.6.4                     │ Exposure of SSH credentials in Rancher/Fleet                 │
│                                                              │                     │          │          │                                    │                                   │ https://github.com/advisories/GHSA-wm2r-rp98-8pmh            │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤          ├────────────────────────────────────┼───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ go.opentelemetry.io/contrib/instrumentation/net/http/otelht- │ CVE-2023-45142      │ HIGH     │          │ v0.35.1                            │ 0.44.0                            │ opentelemetry: DoS vulnerability in otelhttp                 │
│ tp                                                           │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2023-45142                   │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤          ├────────────────────────────────────┼───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/net                                             │ CVE-2023-45288      │ MEDIUM   │          │ v0.20.0                            │ 0.23.0                            │ golang: net/http, x/net/http2: unlimited number of           │
│                                                              │                     │          │          │                                    │                                   │ CONTINUATION frames causes DoS                               │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2023-45288                   │
├──────────────────────────────────────────────────────────────┼─────────────────────┤          │          ├────────────────────────────────────┼───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ google.golang.org/protobuf                                   │ CVE-2024-24786      │          │          │ v1.32.0                            │ 1.33.0                            │ golang-protobuf: encoding/protojson, internal/encoding/json: │
│                                                              │                     │          │          │                                    │                                   │ infinite loop in protojson.Unmarshal when unmarshaling       │
│                                                              │                     │          │          │                                    │                                   │ certain forms of...                                          │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2024-24786                   │
├──────────────────────────────────────────────────────────────┼─────────────────────┤          ├──────────┼────────────────────────────────────┼───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ kubevirt.io/kubevirt                                         │ CVE-2024-31420      │          │ affected │ v1.1.0                             │                                   │ cnv: DoS through repeatedly calling vm-dump-metrics until    │
│                                                              │                     │          │          │                                    │                                   │ virt handler crashes                                         │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2024-31420                   │
│                                                              ├─────────────────────┤          │          │                                    ├───────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2024-33394      │          │          │                                    │                                   │ kubevirt allows a local attacker to execute arbitrary code   │
│                                                              │                     │          │          │                                    │                                   │ via a crafted...                                             │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2024-33394                   │
└──────────────────────────────────────────────────────────────┴─────────────────────┴──────────┴──────────┴────────────────────────────────────┴───────────────────────────────────┴──────────────────────────────────────────────────────────────┘

after:

rancher/harvester-load-balancer-webhook:26a72ef-amd64 (suse linux enterprise server 15.6)
=========================================================================================
Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)


usr/bin/harvester-load-balancer-webhook (gobinary)
==================================================
Total: 10 (UNKNOWN: 0, LOW: 1, MEDIUM: 4, HIGH: 5, CRITICAL: 0)

┌──────────────────────────────────────────────────────────────┬─────────────────────┬──────────┬──────────┬────────────────────────────────────┬───────────────────────────────────┬─────────────────────────────────────────────────────────────┐
│                           Library                            │    Vulnerability    │ Severity │  Status  │         Installed Version          │           Fixed Version           │                            Title                            │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┼──────────┼────────────────────────────────────┼───────────────────────────────────┼─────────────────────────────────────────────────────────────┤
│ github.com/rancher/apiserver                                 │ CVE-2023-32192      │ HIGH     │ fixed    │ v0.0.0-20230120214941-e88c32739dc7 │ 0.0.0-20240207153957-4fd7d821d952 │ Rancher API Server Cross-site Scripting Vulnerability       │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2023-32192                  │
├──────────────────────────────────────────────────────────────┼─────────────────────┤          │          ├────────────────────────────────────┼───────────────────────────────────┼─────────────────────────────────────────────────────────────┤
│ github.com/rancher/norman                                    │ CVE-2023-32193      │          │          │ v0.0.0-20221205184727-32ef2e185b99 │ 0.0.0-20240207153100-3bb70b772b52 │ Norman API Cross-site Scripting Vulnerability               │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2023-32193                  │
├──────────────────────────────────────────────────────────────┼─────────────────────┤          │          ├────────────────────────────────────┼───────────────────────────────────┼─────────────────────────────────────────────────────────────┤
│ github.com/rancher/rancher                                   │ CVE-2019-12274      │          │          │ v0.0.0-20230124173128-2207cfed1803 │ 2.2.4, 1.6.27                     │ Rancher Privilege Escalation Vulnerability                  │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2019-12274                  │
│                                                              ├─────────────────────┤          │          │                                    ├───────────────────────────────────┼─────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2021-36775      │          │          │                                    │ 2.4.18, 2.5.12, 2.6.3             │ Rancher's Failure to delete orphaned role bindings does not │
│                                                              │                     │          │          │                                    │                                   │ revoke project level...                                     │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2021-36775                  │
│                                                              ├─────────────────────┼──────────┼──────────┤                                    ├───────────────────────────────────┼─────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2019-11881      │ MEDIUM   │ affected │                                    │                                   │ Rancher Login Parameter Can Be Edited                       │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2019-11881                  │
│                                                              ├─────────────────────┤          ├──────────┤                                    ├───────────────────────────────────┼─────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2021-25313      │          │ fixed    │                                    │ 2.5.6, 2.4.14, 2.3.11             │ Rancher Cross-site Scripting Vulnerability                  │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2021-25313                  │
│                                                              ├─────────────────────┼──────────┤          │                                    ├───────────────────────────────────┼─────────────────────────────────────────────────────────────┤
│                                                              │ GHSA-wm2r-rp98-8pmh │ LOW      │          │                                    │ 2.5.13, 2.6.4                     │ Exposure of SSH credentials in Rancher/Fleet                │
│                                                              │                     │          │          │                                    │                                   │ https://github.com/advisories/GHSA-wm2r-rp98-8pmh           │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤          ├────────────────────────────────────┼───────────────────────────────────┼─────────────────────────────────────────────────────────────┤
│ go.opentelemetry.io/contrib/instrumentation/net/http/otelht- │ CVE-2023-45142      │ HIGH     │          │ v0.35.1                            │ 0.44.0                            │ opentelemetry: DoS vulnerability in otelhttp                │
│ tp                                                           │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2023-45142                  │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┼──────────┼────────────────────────────────────┼───────────────────────────────────┼─────────────────────────────────────────────────────────────┤
│ kubevirt.io/kubevirt                                         │ CVE-2024-31420      │ MEDIUM   │ affected │ v1.1.1                             │                                   │ cnv: DoS through repeatedly calling vm-dump-metrics until   │
│                                                              │                     │          │          │                                    │                                   │ virt handler crashes                                        │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2024-31420                  │
│                                                              ├─────────────────────┤          │          │                                    ├───────────────────────────────────┼─────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2024-33394      │          │          │                                    │                                   │ kubevirt allows a local attacker to execute arbitrary code  │
│                                                              │                     │          │          │                                    │                                   │ via a crafted...                                            │
│                                                              │                     │          │          │                                    │                                   │ https://avd.aquasec.com/nvd/cve-2024-33394                  │
└──────────────────────────────────────────────────────────────┴─────────────────────┴──────────┴──────────┴────────────────────────────────────┴───────────────────────────────────┴─────────────────────────────────────────────────────────────┘

[w13915984028]

@bk201 @starbops @FrankYang0529

The included commits are those relative easy ones; bump rancher & norman will cause code building failure, that will be left to v1.5.0.

Local test:

PODs run well with the new image:

$kubectl get deployment -n $HS harvester-load-balancer -oyaml | grep image
        image: rancher/harvester-load-balancer:26a72ef-amd64

$kubectl get deployment -n $HS harvester-load-balancer-webhook -oyaml | grep image
        image: rancher/harvester-load-balancer-webhook:26a72ef-amd64

        
$kubectl get pods -n $HS
NAME                                                       READY   STATUS      RESTARTS      AGE
harvester-load-balancer-6ccccbfcb8-whxn2                   1/1     Running     0             2m44s
harvester-load-balancer-webhook-6bdd55799c-lkzzv           1/1     Running     0             2m29s

Pools:

LBs:

[w13915984028]

@bk201 @FrankYang0529 @starbops Please help review, we may merge them now, thanks.

[starbops]

LGTM, thank you.