Krytyczna luka w kcp umożliwiająca podszywanie się i obejście autoryzacji

Co wiadomo

W kcp, narzędziu do zarządzania klastrami podobnym do Kubernetes, przed wersjami 0.31.4 i 0.32.2 front-proxy nie usuwał nagłówków tożsamości X-Remote-User i pokrewnych przed przekazaniem żądań, co pozwalało uwierzytelnionym najemcom na podszywanie się pod inne grupy i obejście mechanizmów autoryzacji. Skutkiem jest możliwość nieautoryzowanego dostępu i modyfikacji zasobów w różnych przestrzeniach roboczych.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla bezpieczeństwa środowisk korzystających z kcp, umożliwiając atakującym eskalację uprawnień i manipulację danymi w wielu przestrzeniach roboczych. Może to prowadzić do wycieku poufnych informacji, utraty integralności danych oraz zakłóceń w działaniu usług. Operatorzy infrastruktury powinni potraktować tę lukę jako krytyczną i priorytetowo wdrożyć odpowiednie środki zaradcze.

Rekomendowane działania administratora

Zaleca się niezwłoczne zweryfikowanie wersji kcp i aktualizację do wersji 0.31.4 lub 0.32.2, gdzie luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz ekspozycję front-proxy oraz monitoruj logi pod kątem podejrzanych nagłówków X-Remote-*. Przeanalizuj uprawnienia użytkowników i grup, aby wykryć potencjalne nadużycia. DataHouse wspiera w weryfikacji wersji oprogramowania oraz w monitoringu i ograniczaniu ekspozycji sieciowej.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference