A Alibaba Cloud corrigiu a vulnerabilidade CVE-2020-8555 no kube-controller-manager do Container Service for Kubernetes (ACK). A CVE-2020-8555 é uma falha de Server Side Request Forgery (SSRF) no kube-controller-manager. Usuários autorizados podem forjar requisições de aplicações server-side para obter informações arbitrárias de endpoints desprotegidos na rede host dos nós mestres. Este tópico descreve os impactos, a solução e as medidas de prevenção contra essa vulnerabilidade.
A pontuação do Common Vulnerability Scoring System (CVSS) dessa vulnerabilidade é 3,0. Para mais informações, consulte CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N. O nível de risco é médio.
Escopo de impacto
Pré-requisitos para ataques:
Uma porta local do kube-apiserver que permite acesso não autorizado está aberta.
Serviços desprotegidos estão expostos à rede host dos nós mestres.
Usuários mal-intencionados têm permissão para crie pods ou gravar objetos StorageClass em um cluster Kubernetes.
Versões afetadas:
kube-controller-manager v1.16.0~v1.16.8
kube-controller-manager
Os tipos de volume afetados são GlusterFS, Quobyte, StorageFS e ScaleIO.
Correções
Um usuário autorizado pode explorar essa vulnerabilidade para crie um pod montado com um volume vulnerável (GlusterFS, Quobyte, StorageFS ou ScaleIO) ou gravar um objeto StorageClass em um cluster Kubernetes. O usuário consegue enviar requisições GET ou POST para Services abertos na rede host dos nós mestres. Assim, ele pode sondar e atacar a rede host sem autorização. Por exemplo, um invasor pode usar a porta 8080 desprotegida do kube-apiserver para obter Kubernetes Secrets.
Por padrão, a porta 8080 desprotegida permanece fechada em clusters ACK. Todos os usuários do Resource Access Management (RAM) precisam receber permissões de controle de acesso baseado em função (RBAC) para executar as operações mencionadas. Exceto pelo criador do cluster, nenhum outro usuário RAM tem autorização padrão para crie pods ou gravar objetos StorageClass. Para evitar vazamento de dados por Services desprotegidos na rede host dos nós mestres, implemente as medidas descritas em pr.k8s.io/89794. Uma nova versão do kube-controller-manager também está disponível para corrigir essa vulnerabilidade.
Prevenção e mitigação
Essa vulnerabilidade foi corrigida na versão mais recente do ACK, V1.16.9-aliyun.1. Recomendamos atualizar seus clusters para a versão V1.16.9-aliyun.1.
Caso sua empresa não permita a atualização do cluster, adote as seguintes medidas de prevenção:
Não abra a porta 8080 desprotegida no kube-apiserver. Em clusters ACK, essa porta fica fechada por padrão.
Verifique se a autenticação de requisições está ativada nos Services abertos na rede host dos nós mestres. Identifique e desative Services desprotegidos que possam causar vazamento de dados.
Não autorize usuários não confiáveis a crie pods ou gravar objetos StorageClass.