Krytyczna luka w IBM Observability with Instana Agent umożliwiająca przejęcie uprawnień RBAC w Kubernetes

Co wiadomo

W wersjach IBM Observability with Instana Agent od 1.0.303 do 1.0.323 istnieje krytyczna luka pozwalająca uwierzytelnionemu użytkownikowi Kubernetes na przejęcie lub trwałe usunięcie uprawnień RBAC innego najemcy na poziomie klastra. Problem wynika z braku rozróżnienia nazw przestrzeni nazw przy klastrowych obiektach RBAC, co umożliwia nadpisanie lub usunięcie wspólnego ClusterRoleBinding.

Wpływ biznesowy

Ta luka może prowadzić do eskalacji uprawnień i utraty kontroli nad monitorowaniem klastra Kubernetes, co zagraża integralności i dostępności środowiska. Operatorzy IT powinni traktować ten problem priorytetowo, gdyż atakujący mogą zakłócić działanie usług lub uzyskać nieautoryzowany dostęp do zasobów klastra.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji od IBM oraz ograniczenie dostępu do przestrzeni nazw Kubernetes, aby zmniejszyć ryzyko wykorzystania luki. Należy również przejrzeć logi pod kątem podejrzanych zmian w obiektach RBAC i zweryfikować konfigurację uprawnień. Wsparcie DataHouse obejmuje weryfikację wersji oprogramowania, zarządzanie aktualizacjami oraz pomoc w ograniczeniu ekspozycji sieciowej i analizie logów.

Źródła

• NVD
• Reference