CVE-2024-5042
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W projekcie Submariner stwierdzono nadmiarowe uprawnienia kontroli dostępu opartej na rolach. Uprzywilejowany atakujący może uruchomić złośliwy kontener na węźle, co umożliwia kradzież tokenów kont usługowych i dalsze kompromitowanie innych węzłów oraz całego klastra.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień w klastrze Kubernetes, potencjalne przejęcie kontroli nad wieloma węzłami oraz naruszenie bezpieczeństwa całego środowiska kontenerowego.
Rekomendacja
Należy niezwłocznie zaktualizować Submariner do wersji, w której usunięto zbędne uprawnienia RBAC, oraz przejrzeć i ograniczyć uprawnienia przypisane do kont usługowych.
Inne podatności w Submariner
Zobacz wszystkie- CVE-2026-66786Krytyczne
W Submariner w trybie cert-auth konfiguracja połączenia jest budowana z niesprawdzonych ciągów znaków z definicji CRD. Złośliwy klaster może opublikować CableName zawierający znaki nowej linii i dyrektywy ipsec.conf, co pozwala na wstrzyknięcie dowolnych parametrów konfiguracyjnych lub wykonanie poleceń przez hooki leftupdown, prowadząc do zdalnego wykonania kodu jako root na węźle bramy.
- CVE-2026-66785Niskie
Podatność w Submariner pozwala złośliwemu klastrowi (spoke) na przekierowanie ruchu sieciowego z innych połączonych klastrów poprzez opublikowanie specjalnie spreparowanego punktu końcowego sieci. System nie waliduje poprawnie podsieci sieciowych dostarczonych przez złośliwy klaster, co umożliwia deklarowanie dowolnych zakresów adresów IP.
- CVE-2026-66781Średnie
W operatorze Submariner znaleziono błąd. Zasób niestandardowy Submariner (CR), używany do konfiguracji łączności sieciowej, przechowuje klucz pre-shared IPsec (PSK) w niezaszyfrowanym formacie. Ten klucz, który jest krytyczny dla zabezpieczenia komunikacji między klastrami Kubernetes, może być dostępny dla nieautoryzowanych stron. Taki dostęp umożliwia atakującemu pasywne odszyfrowanie ruchu sieciowego między dowolnymi dwoma klastrami w siatce, co prowadzi do ujawnienia poufnych informacji.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the Submariner project. Due to unnecessary role-based access control permissions, a privileged attacker can run a malicious container on a node that may allow them to steal service account tokens and further compromise other nodes and potentially the entire cluster.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS