Podatności insights-client

W komponencie insights-client znaleziono błąd: ServiceAccount jest powiązany z ClusterRole przyznającym uprawnienia do pobierania, listowania i obserwowania wszystkich sekretów w klastrze, podczas gdy kod wymaga dostępu tylko do jednego konkretnego sekretu. To nadmierne uprawnienie oznacza, że kompromitacja poda lub tokena ServiceAccount może dać atakującemu dostęp do wszystkich sekretów w klastrze hub, w tym kubeconfigów klastrów zarządzanych i innych wrażliwych poświadczeń.

W insights-client wykryto wadę: funkcja setDefault() loguje wartość każdej zmiennej środowiskowej, w tym CCX_TOKEN, poświadczenia typu bearer używanego we wdrożeniach klastrów rozłączonych. Gdy poziom szczegółowości glog jest ustawiony na 2 lub wyższy, token jest zapisywany w postaci jawnego tekstu w logach poda przy każdym starcie. Atakujący z dostępem do logów poda lub scentralizowanych logów może uzyskać poświadczenie, prowadząc do nieautoryzowanego dostępu do API CCX.

W insights-client wykryto wadę: skompromitowany klaster zarządzany (spoke) może wstrzyknąć niekodowane dane do ścieżki URL API Insights. Dzieje się tak, ponieważ ClusterID, kontrolowany przez spoke, jest używany bezpośrednio w ścieżce żądania bez odpowiedniej walidacji lub kodowania URL. Ta podatność pozwala złośliwemu spoke na przekierowanie uwierzytelnionych żądań do niezamierzonych endpointów API, potencjalnie prowadząc do ujawnienia informacji lub nieautoryzowanego dostępu.

W aplikacji insights-client po otrzymaniu odpowiedzi innej niż 200 logowane są nagłówki żądania, które mogą zawierać token pull-secret z cloud.openshift.com. Lokalny użytkownik mający dostęp do logów podów na hubie może odczytać to długożyjące poświadczenie. Taka informacja może umożliwić nieautoryzowany dostęp do usług chmurowych Red Hat.