Thông tin chi tiết đã được công khai về một lỗ hổng có mức độ nghiêm trọng cao hiện đã được vá trong Kubernetes. Lỗ hổng này có thể cho phép kẻ tấn công độc hại thực thi mã từ xa với các đặc quyền nâng cao trong các trường hợp cụ thể.
Nhà nghiên cứu bảo mật Tomer Peled của Akamai cho biết : “Lỗ hổng này cho phép thực thi mã từ xa với các đặc quyền HỆ THỐNG trên tất cả các điểm cuối Windows trong cụm Kubernetes” . “Để khai thác lỗ hổng này, kẻ tấn công cần áp dụng các tệp YAML độc hại trên cụm.”
Được theo dõi là CVE-2023-5528 (điểm CVSS: 7.2), thiếu sót này ảnh hưởng đến tất cả các phiên bản kubelet, bao gồm và sau phiên bản 1.8.0. Vấn đề này đã được giải quyết như một phần của bản cập nhật phát hành vào ngày 14 tháng 11 năm 2023 trong các phiên bản sau -
- kubelet v1.28.4
- kubelet v1.27.8
- kubelet v1.26.11 và
- kubelet v1.25.16
Các nhà bảo trì Kubernetes cho biết trong một lời khuyên được đưa ra vào thời điểm đó: “Một vấn đề bảo mật đã được phát hiện ở Kubernetes, nơi người dùng có thể tạo nhóm và khối lượng liên tục trên các nút Windows có thể leo thang lên đặc quyền quản trị viên trên các nút đó” . "Các cụm Kubernetes chỉ bị ảnh hưởng nếu chúng đang sử dụng plugin lưu trữ trên cây cho các nút Windows."
Khai thác thành công lỗ hổng có thể dẫn đến việc chiếm quyền kiểm soát hoàn toàn tất cả các nút Windows trong một cụm. Điều đáng chú ý là một loạt lỗ hổng tương tự khác trước đây đã được công ty cơ sở hạ tầng web tiết lộ vào tháng 9 năm 2023.
Vấn đề bắt nguồn từ việc sử dụng "lệnh gọi hàm không an toàn và thiếu tính năng dọn dẹp đầu vào của người dùng" và liên quan đến tính năng có tên là khối lượng Kubernetes , tận dụng đặc biệt loại khối lượng được gọi là khối lượng cục bộ cho phép người dùng gắn phân vùng đĩa vào một nhóm bằng cách chỉ định hoặc tạo một PersistentVolume .
Peled giải thích: “Trong khi tạo một nhóm bao gồm ổ đĩa cục bộ, dịch vụ kubelet (cuối cùng) sẽ đạt được chức năng 'MountSensitive()'". "Bên trong nó, có một lệnh gọi dòng cmd tới 'exec.command', tạo ra một liên kết tượng trưng giữa vị trí của ổ đĩa trên nút và vị trí bên trong nhóm."
Điều này tạo ra một lỗ hổng mà kẻ tấn công có thể khai thác bằng cách tạo PersistentVolume với tham số đường dẫn được tạo đặc biệt trong tệp YAML, kích hoạt việc chèn lệnh và thực thi bằng cách sử dụng dấu phân cách lệnh "&&" .
“Trong nỗ lực loại bỏ cơ hội tiêm chích, nhóm Kubernetes đã chọn xóa lệnh gọi cmd và thay thế nó bằng hàm GO gốc sẽ thực hiện thao tác tương tự ‘os.Symlink(),” Peled nói về bản vá được đưa vào địa điểm.
Tiết lộ này được đưa ra khi một lỗ hổng bảo mật nghiêm trọng được phát hiện trong mẫu máy ảnh Chiết Giang Uniview ISC 2500-S ( CVE-2024-0778 , điểm CVSS: 9,8) đang bị các kẻ đe dọa khai thác để phát tán botnet Mirai biến thể có tên NetKiller chia sẻ cơ sở hạ tầng chồng chéo với một mạng botnet khác có tên Condi .
Akamai cho biết : “Mã nguồn botnet Condi được phát hành công khai trên Github trong khoảng thời gian từ ngày 17 tháng 8 đến ngày 12 tháng 10 năm 2023” . “Xem xét mã nguồn Condi đã có sẵn từ nhiều tháng nay, có khả năng các tác nhân đe dọa khác […] đang sử dụng nó.”