Vulnerabilidade Crítica no Kubernetes Image Builder

Recentemente, uma falha de segurança crítica foi divulgada no Kubernetes Image Builder que, se explorada com sucesso, poderia ser utilizada para obter acesso root sob certas circunstâncias.

Descrição da Vulnerabilidade

A vulnerabilidade, rastreada como CVE-2024-9486 (pontuação CVSS: 9.8), foi solucionada na versão 0.1.38 do projeto. Os mantenedores do projeto reconheceram Nicolai Rybnikar pela descoberta e reporte da vulnerabilidade.

“Um problema de segurança foi descoberto no Kubernetes Image Builder, onde credenciais padrão estão habilitadas durante o processo de construção da imagem,” afirmou Joel Smith da Red Hat em um alerta.

Smith também afirmou que, “além disso, imagens de máquina virtual construídas usando o provedor Proxmox não desativam essas credenciais padrão, e nós usando as imagens resultantes podem ser acessíveis através dessas credenciais padrão. As credenciais podem ser usadas para obter acesso root.”

Impacto e Mitigações

É importante ressaltar que os clusters do Kubernetes são afetados pela falha somente se seus nós utilizarem imagens de máquinas virtuais (VM) criadas através do projeto Image Builder com o provedor Proxmox.

Recomendações Temporárias

Como mitigações temporárias, foi aconselhado desativar a conta builder em VMs afetadas. Os usuários também são recomendados a reconstruir as imagens afetadas usando uma versão corrigida do Image Builder e redesplegá-las nas VMs.

Correções Implementadas

A correção implementada pela equipe do Kubernetes substitui as credenciais padrão por uma senha gerada aleatoriamente que é definida durante a construção da imagem. Além disso, a conta builder é desativada ao final do processo de construção da imagem.

Vulnerabilidade Relacionada

A versão 0.1.38 do Kubernetes Image Builder também endereça uma questão relacionada (CVE-2024-9594, pontuação CVSS: 6.3) referente a credenciais padrão quando construções de imagem são criadas usando os provedores Nutanix, OVA, QEMU ou raw.

A gravidade mais baixa para a CVE-2024-9594 decorre do fato de que as VMs que usam as imagens construídas com esses provedores são afetadas “somente se um atacante conseguir acessar a VM onde a construção da imagem estava ocorrendo e usar a vulnerabilidade para modificar a imagem no momento da construção.”

Outras Vulnerabilidades Críticas Relacionadas

Além disso, esta situação é observada em meio ao recente lançamento de patches críticos pela Microsoft para três falhas relacionadas ao Dataverse, Imagine Cup e Power Platform que poderiam levar à elevação de privilégios e divulgação de informações:

• CVE-2024-38139 (pontuação CVSS: 8.7) – Autenticação inadequada no Microsoft Dataverse permite que um atacante autorizado eleve privilégios através de uma rede.
• CVE-2024-38204 (pontuação CVSS: 7.5) – Controle de Acesso inadequado no Imagine Cup permite que um atacante autorizado eleve privilégios através de uma rede.
• CVE-2024-38190 (pontuação CVSS: 8.6) – Ausência de autorização na Power Platform permite que um atacante não autenticado visualize informações sensíveis através de um vetor de ataque em rede.

Vulnerabilidades em Outros Sistemas

A situação também segue a divulgação de uma vulnerabilidade crítica no Apache Solr, um motor de busca de código aberto (CVE-2024-45216, pontuação CVSS: 9.8) que poderia abrir caminho para uma bypass de autenticação em instâncias suscetíveis.

“Um final falso no final de qualquer caminho de URL da API Solr permitirá que requisições evitem a Autenticação enquanto mantém o contrato da API com o caminho original da URL,” afirma um aviso do GitHub sobre a falha. “Esse final falso se parece com um caminho de API não protegido, no entanto, ele é removido internamente após a autenticação, mas antes do roteamento da API.”

A questão, que afeta versões do Solr a partir de 5.3.0 até antes de 8.11.4, assim como de 9.0.0 até antes de 9.7.0, foi remediada nas versões 8.11.4 e 9.7.0, respectivamente.

#Kubernetes, #Segurança, #CVE2024, #Vulnerabilidade, #RedHat, #ImageBuilder, #DevOps, #Cibersegurança, #Patch, #Tecnologia

Fonte:https://thehackernews.com/2024/10/critical-kubernetes-image-builder.html