Podatności KubeSphere

KubeSphere w wersjach do 4.1.3 zawiera podatność typu server-side request forgery w endpoincie weryfikacji poświadczeń git, który przyjmuje niezwalidowane URL-e dostarczone przez wywołującego bez ograniczeń allowlisty. Uwierzytelnieni atakujący mogą podać dowolne URL-e, aby dotrzeć do usług wewnętrznych i wykraść poświadczenia basic-auth z Sekretów w dowolnym namespace.

Proces reconciliacji cluster-controller w KubeSphere (pkg/utils/clusterclient/clusterclient.go, addCluster) przetwarza konfigurację połączenia każdego zasobu niestandardowego Cluster i natychmiast wywołuje Discovery.ServerVersion wobec punktu końcowego API Kubernetes określonego w CRD, który jest parsowany tylko pod kątem składni URL (url.Parse) bez listy dozwolonych/zabronionych dla adresów loopback, prywatnych RFC1918, link-local czy adresów metadanych chmury (np. 169.254.169.254).

Endpoint /v3/import/{token}_{clusterId}.yaml pobiera obiekt klastra przed walidacją tokena. Gdy prawidłowy identyfikator klastra odnosi się do klastra z skonfigurowanymi sekretami rejestru prywatnego, dereferencja nil w pkg/systemtemplate/private_registry.go powoduje zwrócenie HTTP 502 Bad Gateway. Dla nieistniejących identyfikatorów klastra endpoint zwraca HTTP 200. Ta różnica w kodach odpowiedzi stanowi wiarygodne źródło do enumeracji.