Các lỗ hổng trong Kubernetes cho phép tấn công từ xa trên Windows Endpoint

[WhiteHat News #ID:2018]

Ba lỗ hổng vừa được phát hiện trong nền tảng Kubernetes được đánh giá có mức độ cao có thể bị khai thác để thực thi mã từ xa với đặc quyền nâng cao trên thiết bị người dùng cuối của Windows (endpoint) thuộc cùng một cụm.

Kubernetes là một nền tảng mã nguồn mở giúp tự động hóa việc quản lý, mở rộng và triển khai ứng dụng dưới dạng container do Google phát triển.

Các lỗ hổng có mã định danh là CVE-2023-3676, CVE-2023-3893 và CVE-2023-3955, có cùng điểm CVSS 8,8 và ảnh hưởng đến tất cả các môi trường cài đặt Kubernetes trên các node mạng Windows. Bản sửa lỗi cho các lỗ hổng được phát hành vào ngày 23/08/2023 sau khi được báo cáo bởi Akamai vào ngày 13/07/2023.

Theo nhà nghiên cứu Tomer Peled của Akamai: “Lỗ hổng cho phép thực thi mã từ xa với đặc quyền hệ thống trên tất cả các Windows endpoint trong cụm Kubernetes”.

Amazon Web Services (AWS), Google Cloud và Microsoft Azure đều đã phát hành các khuyến cáo cho các lỗi này mà ảnh hưởng đến các phiên bản sau của Kubelet:

• kubelet < v1.28.1
• kubelet < v1.27.5
• kubelet < v1.26.8
• kubelet < v1.25.13
• kubelet < v1.24.17

Điểm chung của các lỗ hổng này đều là do sai sót trong quá trình làm sạch đầu vào trong việc tương thích hệ điều hành Windows riêng biệt của Kubelet.

CVE-2023-3676 cho phép kẻ tấn công với đặc quyền cụ thể, có thể tương tác với API của Kubernetes để tiêm mã tùy ý có chức năng thực thi mã từ xa trên các máy tính chạy hệ điều hành Windows bằng đặc quyền hệ thống (SYSTEM).

CVE-2023-3955 xảy ra do sai sót khi làm sạch đầu vào, từ đó cho phép một chuỗi đường dẫn đặc biệt được phân tích như một tham số đến lệnh PowerShell, dẫn đến việc thực thi mã từ xa hiệu quả.

CVE-2023-3893 liên quan đến trường hợp leo thang đặc quyền trong proxy của Container Storage Interface (CSI) cho phép kẻ xấu có quyền truy cập của quản trị viên vào node.

Người dùng cần cập nhật lên phiên bản mới nhất để tránh bị tấn công.

Theo The Hacker News​