CVE-2020-8554
MediumCVSS 6.3Summary
Serwer API Kubernetes we wszystkich wersjach pozwala atakującemu, który potrafi stworzyć usługę ClusterIP i ustawić pole spec.externalIPs, na przechwycenie ruchu do tego adresu IP. Dodatkowo, atakujący, który ma możliwość modyfikacji statusu usługi LoadBalancer, może ustawić status.loadBalancer.ingress.ip w podobny sposób.
Risk Assessment
Organizacja może być narażona na przechwytywanie ruchu sieciowego, co może prowadzić do ujawnienia wrażliwych danych lub manipulacji danymi. Wysokie ryzyko związane z nieautoryzowanym dostępem do zasobów i usług.
Recommendation
Zaleca się ograniczenie uprawnień użytkowników do tworzenia usług ClusterIP oraz modyfikacji statusów usług LoadBalancer. Należy również monitorować i audytować ruch sieciowy w celu wykrywania nieautoryzowanych zmian.
Original NVD description (English source)
Kubernetes API server in all versions allow an attacker who is able to create a ClusterIP service and set the spec.externalIPs field, to intercept traffic to that IP address. Additionally, an attacker who is able to patch the status (which is considered a privileged operation and should not typically be granted to users) of a LoadBalancer service can set the status.loadBalancer.ingress.ip to similar effect.