CVE-2024-36543

W Kubernetes tenant posiadający uprawnienie create na zasobach Console może ustawić spec.containers.api.spec.image na dowolny obraz kontenera. Operator wdraża ten obraz do poda, którego ServiceAccount jest powiązany przez ClusterRoleBinding z ClusterRole przyznającym szerokie uprawnienia do CRD Strimzi oraz widok monitoringu klastra. Kod atakującego odczytuje token SA i uzyskuje między-tenantowy dostęp odczytu i zapisu do płaszczyzny kontrolnej Strimzi.

Strimzi umożliwia uruchamianie klastra Apache Kafka na Kubernetes lub OpenShift w różnych konfiguracjach. W Strimzi 1.0.0 i wcześniejszych wdrożenie tylko Topic Operator lub tylko User Operator przez zasób niestandardowy Kafka pozostawia konto usługi Entity Operator z uprawnieniami RBAC dla obu komponentów. Nadmiarowe uprawnienia mogą pozwolić na dostęp do zasobów niestandardowych KafkaUser i Sekretów, gdy User Operator jest nieobecny, lub do zasobów niestandardowych KafkaTopic, gdy Topic Operator jest nieobecny.

W Strimzi w wersji 1.0.0 i wcześniejszych atakujący mogący utworzyć zasób niestandardowy Kafka może ustawić Kafka.spec.entityOperator watchedNamespace na docelową przestrzeń nazw, powodując utworzenie przez Cluster Operator roli z pełnymi uprawnieniami CRUD do Secret w tej przestrzeni i powiązanie jej z kontem usługi Entity Operator w przestrzeni nazw atakującego. Atakujący może wygenerować token dla tego konta usługi i odczytywać lub zapisywać sekrety w dowolnej docelowej przestrzeni nazw, w której Cluster Operator ma przyznane uprawnienia, niezależnie od STRIMZI_NAMESPACE. Problem naprawiono w wersjach 1.0.1 i 1.1.0.

Podatność w Strimzi w wersjach 0.49.0 do 0.50.0 dotyczy nieprawidłowej konfiguracji zaufanych certyfikatów dla uwierzytelniania mTLS przy użyciu niestandardowego CA z wieloetapowym łańcuchem CA. Powoduje to, że wszystkie CA z łańcucha są uznawane za zaufane, co pozwala na uwierzytelnienie użytkownikom z certyfikatami podpisanymi przez dowolne CA w łańcuchu.