Podatności Red Hat Advanced Cluster Management for Kubernetes

Wada w kontrolerze subskrypcji aplikacji (multicluster-operators-subscription) Red Hat Advanced Cluster Management for Kubernetes (ACM) pozwala użytkownikowi z uprawnieniami "edit" w przestrzeni nazw ACM hub na utworzenie zasobu Channel wskazującego na kontrolowane repozytorium Helm oraz zasobu Subscription. Kontroler pobiera i stosuje zawartość wykresu Helm z własnymi podwyższonymi uprawnieniami, bez weryfikacji, czy twórca subskrypcji posiada rolę "open-cluster-management:subscription-admin" i bez ograniczania stosowanych zasobów do przestrzeni nazw subskrypcji. Pozwala to atakującemu na umieszczenie w wykresie Helm zasobów klastrowych, takich jak ClusterRoleBinding przyznający ServiceAccount atakującego rolę "cluster-admin". Skuteczna eksploatacja prowadzi do pełnej eskalacji uprawnień do poziomu cluster-admin.

W komponencie lighthouse w Red Hat Advanced Cluster Management for Kubernetes stwierdzono podatność wynikającą z niewystarczającej walidacji reklamowanych adresów IP w obiektach EndpointSlice. Zaatakowany klaster spoke może tworzyć EndpointSlices z adresami IP kontrolowanymi przez atakującego, co powoduje przekierowanie ruchu usług między klastrami do złośliwych punktów końcowych. Umożliwia to przeprowadzenie ataku Man-in-the-Middle na komunikację między klastrami.

W komponencie must-gather Red Hat Advanced Cluster Management for Kubernetes obiekt Proxy klastra jest zrzucany w surowej formie, z pominięciem redakcji oc inspect, która normalnie usuwa wrażliwe pola. To ujawnia poświadczenia basic-auth proxy w archiwum must-gather, potencjalnie ujawniając poufne informacje uwierzytelniające każdemu, kto ma dostęp do archiwum.

W komponencie must-gather Red Hat Advanced Cluster Management for Kubernetes niektóre niestandardowe zasoby ACM, które zawierają dane Secret, są zbierane bez redakcji. Gdy administrator uruchamia must-gather, poświadczenia i tokeny są przechwytywane w postaci jawnego tekstu w wynikowym archiwum, co może ujawnić wrażliwe informacje każdemu, kto ma dostęp do archiwum.

W komponencie governance-policy-addon-controller Red Hat Advanced Cluster Management for Kubernetes, użytkownik z uprawnieniami do adnotacji zasobu namespaced ManagedClusterAddOn może nadpisać obraz kontenera polityki zarządzania. Pozwala to atakującemu uruchomić kontrolowany obraz z uprawnieniami cluster-admin na zarządzanym klastrze, co prowadzi do wykonania dowolnego kodu i eskalacji uprawnień.

W komponencie service-proxy w Red Hat Advanced Cluster Management for Kubernetes (RHACM) i multicluster-engine (MCE), serwer proxy dodaje nagłówki personifikacji do żądań bez usuwania wartości dostarczonych przez wywołującego. Uwierzytelniony podmiot z koncentratora może wstrzyknąć nagłówek Impersonate-Group, aby eskalować do cluster-admin na każdym zarządzanym klastrze.