Podatności Kong Mesh

W globalnym panelu sterowania Kong Mesh, zasoby otrzymywane przez synchronizację KDS między strefami są przypisywane na podstawie identyfikatora ControlPlane.Identifier kontrolowanego przez nadawcę, a nie uwierzytelnionej tożsamości strefy pochodzącej z połączenia. Uwierzytelnione strefy mogą spowodować, że globalny panel sterowania będzie przechowywać i redystrybuować te zasoby jako należące do innej strefy. Skutkuje to obejściem izolacji między strefami: posiadacz poświadczeń jednej zarejestrowanej strefy może wstrzykiwać, przypisywać i nadpisywać zasoby w przestrzeni nazw innej strefy w całym mesh. Przyczyną jest kod synchronizacji KDS w Kuma, na którym zbudowany jest panel sterowania Kong Mesh.

W Kong Mesh działającym w trybie uniwersalnym z MeshIdentity, którego szablon ścieżki SPIFFE ID pochodzi z etykiety kuma.io/workload dataplane, autoryzator XDS w kuma-cp waliduje tę etykietę tylko wtedy, gdy token dataplane jest powiązany z obciążeniem. Powiązanie z obciążeniem jest opcjonalne, więc dataplane z tokenem powiązanym z tagami może zarejestrować się z dowolną wartością kuma.io/workload i uzyskać tożsamość SPIFFE innego obciążenia.

Domyślna konfiguracja kuma-cp w Kong Mesh ujawnia token bootstrap administratora i klucze podpisujące każdej stronie internetowej, którą operator odwiedza, gdy płaszczyzna sterowania jest osiągalna z przeglądarki. Z powodu błędnej konfiguracji CORS, złośliwa strona może wykonać fetch() i uzyskać admin JWT oraz materiały podpisujące.