Lỗ hổng Kubernetes cho phép thực thi mã từ xa trên điểm cuối Windows

Thứ hai - 01/04/2024 07:10

Vừa qua, công ty bảo mật đám mây Akamai (Mỹ) đã đưa ra cảnh báo về việc khai thác lỗ hổng Kubernetes ở mức độ nghiêm trọng cao, có thể dẫn đến việc thực thi mã tùy ý với các đặc quyền hệ thống trên tất cả các điểm cuối Windows trong một cụm (cluster).

Lỗ hổng có mã định danh CVE-2023-5528 (điểm CVSS: 7.2), ảnh hưởng đến cài đặt Kubernetes mặc định, tồn tại ở cách hệ thống điều phối container nguồn mở xử lý các tệp YAML.
Ở một khía cạnh nào đó, lỗ hổng này tương tự với lỗ hổng CVE-2023-3676, đó là thiếu quá trình loại bỏ (sanitization) trong tham số subPath của tệp YAML, dẫn đến việc chèn mã khi tạo các Pod (đại diện cho một nhóm gồm một hoặc nhiều ứng dụng container, ví dụ như Docker hoặc rkt).
Lỗ hổng CVE-2023-3676 được xác định trong quá trình xử lý các tệp YAML của dịch vụ Kubelet trong Kubernetes chứa thông tin về cách gắn thư mục dùng chung, mặt khác lỗ hổng CVE-2023-5528 xảy ra khi tạo một Pod bao gồm ổ đĩa cục bộ, cho phép gắn các phân vùng đĩa.
Akamai cho biết một trong những chức năng mà dịch vụ Kubelet đạt được khi tạo một Pod như vậy sẽ tạo ra “liên kết tượng trưng (symlink) giữa vị trí của ổ đĩa trên nút và vị trí bên trong Pod” .
Vì hàm chứa lệnh gọi cmd, dấu nhắc lệnh của Windows hỗ trợ thực thi hai hoặc nhiều lệnh sau một mã thông báo đặc biệt, kẻ tấn công có thể kiểm soát một tham số trong quá trình thực thi cmd và chèn các lệnh tùy ý nhằm thực thi với các đặc quyền của Kubelet (đặc quyền hệ thống). Tuy nhiên, sự cố chỉ xảy ra khi chỉ định hoặc tạo một persistentVolume, một loại tài nguyên lưu trữ mà quản trị viên có thể tạo để cung cấp trước không gian lưu trữ và sẽ tồn tại sau vòng đời của Pod, đây là vị trí có thể chèn lệnh độc hại. Kẻ tấn công có thể thay đổi giá trị của tham số “local.path” bên trong tệp YAML persistentVolume để thêm một lệnh độc hại sẽ được thực thi trong quá trình cài đặt.
Để giải quyết vấn đề, Kubernetes đã xóa lệnh gọi cmd và thay thế nó bằng hàm Go gốc chỉ thực hiện thao tác liên kết tượng trưng. Tất cả các hoạt động triển khai Kubernetes phiên bản 1.28.3 trở về trước có nút Windows trong cụm đều dễ bị tấn công bởi CVE-2023-5528. Các tổ chức được khuyến khích nâng cấp lên Kubernetes phiên bản 1.28.4.
Akamai cho biết: “Vì vấn đề nằm trong mã nguồn nên mối đe dọa này sẽ vẫn còn hoạt động và việc khai thác nó có thể sẽ tăng lên, đây là lý do tại sao chúng tôi đặc biệt khuyến cáo người dùng nên vá cụm của họ ngay cả khi nó không có bất kỳ nút Windows nào”.

Tác giả bài viết: Hồng Đạt

Nguồn tin: antoanthongtin

Ý kiến bạn đọc

Bạn cần đăng nhập với tư cách là %s để có thể bình luận

Những tin mới hơn

Những tin cũ hơn

Giới Thiệu

Giới thiệu về trung tâm

Trung tâm Công nghệ thông tin và Truyền thông Sơn La, được thành lập từ 20/12/2004, tại Quyết định số 189/2004/QĐ-UB, của UBND tỉnh Sơn La, tiền thân là Trung tâm tin học trực thuộc Văn phòng UBND tỉnh Sơn La. Chính thức được đổi tên thành Trung tâm Công nghệ thông tin và Truyền thông tỉnh Sơn La từ...