Kubernetes-ում հայտնաբերված անվտանգության երեք կրիտիկական խոցելիությունները կարող են օգտագործվել Windows-ի endpoint-երում՝ կոդերի remote կատարման հասնելու համար:
CVE-2023-3676, CVE-2023-3893 և CVE-2023-3955 խոցելիությունները կրիտիկական են և CVSS կատալոգում ունեն 8,8 միավորը: Դրանք Kubernetes-ի բոլոր միջավայրերի վրա ազդում են Windows node-երով: Խոցելիության շտկումները հրապարակվել են 2023 թվականի օգոստոսի 23-ին՝ 2023 թվականի հուլիսի 13-ին Akamai-ի կողմից իրականացված բացահայտումից հետո:
Amazon Web Services (AWS)-ը, Google Cloud-ը և Microsoft Azure-ը թողարկել են համապատասխան ցուցումներ առկա վրիպակների համար, որոնք ազդում են Kubelet-ի հետևյալ տարբերակների վրա՝
CVE-2023-3676-ը հաքերներին մի շարք արտոնություններ է տալիս, ինչն էլ հարմար հիմք է ստեղծում Kubernetes API-ի հետ համագործակցության համար, որի արդյունքում կամայական կոդեր են inject արվում և SYSTEM արտոնություններ կիրառվում Windows-ի remote սարքերում:
Մյուս կողմից, CVE-2023-3893-ը վերաբերում է Container Storage Interface (CSI) proxy-ի արտոնությունների մեծացմանը, որը հաքերներին թույլ է տալիս ստանձնել ադմինիստրատորի կարգավիճակ և մուտք ունենալ դեպի node-եր:
«Այս խոցելիությունների շարքում անընդհատ շահարկվում է Kubelet-ի Windows-specific porting-ի sanitization-ի ձախողման հարցը», – անցյալ ամսվա կտրվածով ընդգծեց Kubernetes անվտանգության ARMO պլատֆորմը:
«Հատկապես, Pod-ի սահմանումները մշակելիս ծրագիրը չի կարողանում պատշաճ կերպով վավերացնել կամ մաքրել օգտատերերի մուտքերը»:
Աղբյուրը՝ https://thehackernews.com/
