Podatności Submariner

W Submariner w trybie cert-auth konfiguracja połączenia jest budowana z niesprawdzonych ciągów znaków z definicji CRD. Złośliwy klaster może opublikować CableName zawierający znaki nowej linii i dyrektywy ipsec.conf, co pozwala na wstrzyknięcie dowolnych parametrów konfiguracyjnych lub wykonanie poleceń przez hooki leftupdown, prowadząc do zdalnego wykonania kodu jako root na węźle bramy.

Podatność w Submariner pozwala złośliwemu klastrowi (spoke) na przekierowanie ruchu sieciowego z innych połączonych klastrów poprzez opublikowanie specjalnie spreparowanego punktu końcowego sieci. System nie waliduje poprawnie podsieci sieciowych dostarczonych przez złośliwy klaster, co umożliwia deklarowanie dowolnych zakresów adresów IP.

W operatorze Submariner znaleziono błąd. Zasób niestandardowy Submariner (CR), używany do konfiguracji łączności sieciowej, przechowuje klucz pre-shared IPsec (PSK) w niezaszyfrowanym formacie. Ten klucz, który jest krytyczny dla zabezpieczenia komunikacji między klastrami Kubernetes, może być dostępny dla nieautoryzowanych stron. Taki dostęp umożliwia atakującemu pasywne odszyfrowanie ruchu sieciowego między dowolnymi dwoma klastrami w siatce, co prowadzi do ujawnienia poufnych informacji.

W projekcie Submariner stwierdzono nadmiarowe uprawnienia kontroli dostępu opartej na rolach. Uprzywilejowany atakujący może uruchomić złośliwy kontener na węźle, co umożliwia kradzież tokenów kont usługowych i dalsze kompromitowanie innych węzłów oraz całego klastra.