Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
05/12/2018
Forat de seguretat important en Kubernetes
S'ha detectat el primer forat de seguretat en Kubernetes, "els delinqüents no solament poden robar dades confidencials o injectar codis maliciosos, sinó que també poden reduir les aplicacions i serveis de producció des del tallafoc d'una organització".Kubernetes és un projecte iniciat per Google l'any 2014 per a millorar el funcionament de les càrregues de treball de producció a gran escala, al ser un sistema de codi lliure per a l'automatització del desplegament, ajust d'escala i maneig d'aplicacions en contenidors en el núvol ha incrementat la seua popularitat en els últims anys, simplement era qüestió de temps perquè els ciberdelinqüents trobaren alguna vulnerabilitat crítica de seguretat en aquest sistema.
L’error pot usar-se de dues formes:
La primera relacionada amb un usuari normal que posseeix els privilegis de la instància 'exec', 'attach' o 'portfoward' sobre un grup de contenidors que compartisquen emmagatzematge i recursos en xarxa. Podrien escalar privilegis a escala de clúster-admin i executar qualsevol procés en un contenidor.
El segon mètode explota la característica d'extensió usada per 'metrics-server' i servicecatalog de la API en una plataforma de contenidors OpenShift, OpenShift Online i dedicat. Permet que un usuari no autenticat puga accedir a l’API per a crear nous serveis que podrien usar-se per a injectar codi maliciós.
Podeu trobar més informació en el següent enllaç.
Versions: v1.10.11, v1.11.5, v1.12.3 i v1.13.0-rc.1.
Les versions de Kubernetes anteriors a aquests juntament amb els productes i serveis basats en ells es veuen afectats per CVE-2018-1002105.
CVE-2018-1002105.
Solució:Es recomana que tots els clústers que executen versions anteriors s'actualitzen immediatament.
Notes:https://github.com/kubernetes/kubernetes/issues/71411