Lo que hay que saber sobre el primer gran fallo de Kubernetes

También puedes leer... Cómo evaluar las opciones de SD-WAN La Seguridad es Infinity Gestión de cuentas con privilegios para Dummies Cómo combatir las amenazas cifradas Cómo vencer al malware evasivo

Calificada con una severidad de 9,8 sobre 10, CVE-2018-1002105 es una vulnerabilidad crítica que permite el acceso a usuarios sin privilegios a clusters de Kubernetes y a datos asociados a los que de otra forma no podrían acceder. Los usuarios malintencionados podrían explotar este fallo de dos formas: la primera implicaría el abuso de privilegios de la instancia pod exec otorgados a un usuario normal, y la segunda consistiría en la posibilidad de atacar la función de extensiones de API que proporciona el catálogo de servicios y el acceso a funciones adicionales en Kubernetes 1.6 y versiones posteriores.

Vectores de ataque
Explotando este fallo, un usuario malintencionado con privilegios Pod exec/attach/portforward podría aumentar sus privilegios a los de administrador de clúster, pudiendo lograr cualquier llamada de API a API de Kubelet de nodo de cómputo. “Esto significa que este usuario podría acceder a cualquier contenedor que se ejecute en el mismo nodo que su pod, permitiéndole acceder a cargas de trabajo y datos sensibles, e incluso a aplicaciones de producción”, explican sus expertos.

En caso de aplicarse el segundo método de explotación, un usuario no autenticado podría explotar la función de extensión de API utilizada por las métricas y el catálogo de servicios en Kubernetes. Este supuesto usuario podría obtener privilegios de administrador de clúster para el agente de servicios, lo que permite la creación de servicios de intermediario en cualquier espacio de nombres y en cualquier nodo. Efectivamente, explotar la falla de esta manera permitiría la creación de nuevos servicios que no están aprobados, haciendo posible la inyección de código malicioso.

El pasado lunes un ingeniero de Google, Jordan Liggitt, anunciaba las versiones v1.10.11, v1.11.5 y v1.12.3 de Kubernetes que han puesto a disposición de los usuarios para corregir el CVE-2018-1002105, una vulnerabilidad que permite la escaladación de privilegios.

Los parches de Red Hat para su plataforma
Red Hat ya ha introducido parches para todas las variantes de su plataforma de contenedores OpenShift: OpenShift Container Platform 3.x y posteriores, OpenShift Online y OpenShift Dedicated.

La compañía recomienda que los clientes que ejecutan cualquier producto que se haya visto afectado apliquen inmediatamente los parches apropiados o se aseguren de que su servicio se haya actualizado para reflejar las correcciones. “Los clientes que ejecuten OpenShift Online o Starter no tienen que llevar a cabo ninguna acción, ya que las operaciones de Red Hat han estado implementando activamente correcciones para estos entornos. Los clientes que utilicen OpenShift Dedicated deben ponerse en contacto con su responsable de soporte para decidir el momento adecuado en que implementar las actualizaciones en sus entornos”, ha señalado.