Podatności Elastic Cloud on Kubernetes

Nieprawidłowa autoryzacja w Elastic Cloud on Kubernetes (ECK) umożliwia nieautoryzowaną modyfikację danych poprzez podszywanie się pod metadane. Osoba posiadająca ograniczone uprawnienia Kubernetes w jednej przestrzeni nazw może spowodować dołączenie kontrolowanego przez siebie materiału certyfikatu do pakietu zaufania klienta Elasticsearch zarządzanego przez ECK w innej przestrzeni nazw.

Niekompletne czyszczenie (CWE-459) w Elastic Cloud on Kubernetes (ECK) może prowadzić do nieautoryzowanego dostępu poprzez nadużycie uprawnień (CAPEC-122). Poświadczenia uwierzytelniające pozostają po odmowie skojarzenia między przestrzeniami nazw przez egzekwowanie RBAC, umożliwiając użytkownikowi o niskich uprawnieniach zachowanie nieautoryzowanego dostępu do powiązanego klastra Elasticsearch.

Przechowywanie wrażliwych informacji w postaci jawnej w zmiennej środowiskowej w Elastic Cloud on Kubernetes (ECK) może prowadzić do ujawnienia informacji. Gdy ECK przetwarza zasób Fleet Server, który uwierzytelnia się do Elasticsearch za pomocą tokena konta usługi, token jest zapisywany w jawnej formie w wygenerowanej specyfikacji obciążenia, zamiast być odwołaniem do sekretu Kubernetes, który ECK utrzymuje dla innych poświadczeń. Każdy podmiot mający dostęp do odczytu specyfikacji obciążenia w danym namespace może odczytać aktywne poświadczenie Elasticsearch, nawet jeśli RBAC Kubernetes nie przyznaje mu dostępu do sekretów.