Se han hecho públicos detalles sobre una falla de alta gravedad ahora parcheada en Kubernetes que podría permitir a un atacante malicioso lograr la ejecución remota de código con privilegios elevados en circunstancias específicas.
«La vulnerabilidad permite la ejecución remota de código con privilegios de SISTEMA en todos los puntos finales de Windows dentro de un clúster de Kubernetes», dijo el investigador de seguridad de Akamai, Tomer Peled. dicho. «Para explotar esta vulnerabilidad, el atacante necesita aplicar archivos YAML maliciosos en el clúster».
Registrada como CVE-2023-5528 (puntuación CVSS: 7.2), la deficiencia afecta a todas las versiones de kubelet, incluida la versión 1.8.0 y posteriores. Se solucionó como parte de las actualizaciones publicadas el 14 de noviembre de 2023, en las siguientes versiones:
- kubelet v1.28.4
- kubelet v1.27.8
- kubelet v1.26.11, y
- kubelet v1.25.16
«Se descubrió un problema de seguridad en Kubernetes donde un usuario que puede crear pods y volúmenes persistentes en nodos de Windows puede escalar a privilegios de administrador en esos nodos», dijeron los mantenedores de Kubernetes. dicho en un aviso publicado en ese momento. «Los clústeres de Kubernetes sólo se ven afectados si utilizan un complemento de almacenamiento en el árbol para los nodos de Windows».
La explotación exitosa de la falla podría resultar en una toma completa de todos los nodos de Windows en un clúster. Vale la pena señalar que otro conjunto de defectos similares Fue revelado previamente por la empresa de infraestructura web en septiembre de 2023.
El problema surge del uso de «llamadas a funciones inseguras y falta de desinfección de la entrada del usuario» y se relaciona con la característica llamada Volúmenes de Kubernetesaprovechando especialmente un tipo de volumen conocido como volúmenes locales que permiten a los usuarios montar una partición de disco en un pod especificando o creando una Volumen persistente.
«Al crear un pod que incluye un volumen local, el servicio kubelet (eventualmente) alcanzará la función ‘MountSensitive()'», explicó Peled. «Dentro de él, hay una línea cmd que llama a ‘exec.command’, que crea un enlace simbólico entre la ubicación del volumen en el nodo y la ubicación dentro del pod».
Esto proporciona una laguna que un atacante puede aprovechar creando un PersistentVolume con un parámetro de ruta especialmente diseñado en el archivo YAML, que desencadena la inyección y ejecución de comandos mediante el uso del Separador de comandos «&&».
«En un esfuerzo por eliminar la oportunidad de inyección, el equipo de Kubernetes optó por eliminar la llamada cmd y reemplazarla con una función GO nativa que realizará la misma operación ‘os.Symlink()», dijo Peled sobre el parche implementado. lugar.
La divulgación se produce como una falla de seguridad crítica descubierta en el modelo 2500-S de la cámara Zhejiang Uniview ISC al final de su vida útil (EoL).CVE-2024-0778puntuación CVSS: 9,8) está siendo explotado por actores de amenazas para lanzar una variante de botnet Mirai llamada NetKiller que comparte superposiciones de infraestructura con una botnet diferente llamada condición.
«El código fuente de la botnet Condi se publicó públicamente en Github entre el 17 de agosto y el 12 de octubre de 2023», Akamai dicho. «Teniendo en cuenta que el código fuente de Condi ha estado disponible desde hace meses, es probable que otros actores de amenazas […] lo estamos usando.»
