Podatności Strimzi

Strimzi umożliwia uruchamianie klastra Apache Kafka na Kubernetes lub OpenShift w różnych konfiguracjach. W Strimzi 1.0.0 i wcześniejszych wdrożenie tylko Topic Operator lub tylko User Operator przez zasób niestandardowy Kafka pozostawia konto usługi Entity Operator z uprawnieniami RBAC dla obu komponentów. Nadmiarowe uprawnienia mogą pozwolić na dostęp do zasobów niestandardowych KafkaUser i Sekretów, gdy User Operator jest nieobecny, lub do zasobów niestandardowych KafkaTopic, gdy Topic Operator jest nieobecny.

W Strimzi w wersji 1.0.0 i wcześniejszych atakujący mogący utworzyć zasób niestandardowy Kafka może ustawić Kafka.spec.entityOperator watchedNamespace na docelową przestrzeń nazw, powodując utworzenie przez Cluster Operator roli z pełnymi uprawnieniami CRUD do Secret w tej przestrzeni i powiązanie jej z kontem usługi Entity Operator w przestrzeni nazw atakującego. Atakujący może wygenerować token dla tego konta usługi i odczytywać lub zapisywać sekrety w dowolnej docelowej przestrzeni nazw, w której Cluster Operator ma przyznane uprawnienia, niezależnie od STRIMZI_NAMESPACE. Problem naprawiono w wersjach 1.0.1 i 1.1.0.

W projekcie Strimzi w wersji 0.41.0 i wcześniejszych wykryto nieprawidłową kontrolę dostępu w interfejsie API REST Kafka Connect. Luka umożliwia atakującemu przeprowadzenie ataku DoS na mirrorowanie Kafki, potencjalne skopiowanie zawartości tematów do własnego klastra Kafki (z pominięciem list ACL) oraz kradzież poświadczeń SASL poprzez zapytania do API REST MirrorMaker.

Podatność w Strimzi w wersjach 0.49.0 do 0.50.0 dotyczy nieprawidłowej konfiguracji zaufanych certyfikatów dla uwierzytelniania mTLS przy użyciu niestandardowego CA z wieloetapowym łańcuchem CA. Powoduje to, że wszystkie CA z łańcucha są uznawane za zaufane, co pozwala na uwierzytelnienie użytkownikom z certyfikatami podpisanymi przez dowolne CA w łańcuchu.