Опасен бъг отваря път за взлом на Windows системи

Изключително опасен бъг позволява на хакери да изпълнят произволен код на Windows възли Kubernetes (снимка: CC0 Public Domain)

Софтуерна уязвимост, която за щастие вече е коригирана, позволява на хакери да изпълнят произволен код на Windows възли Kubernetes при наличие на определени условия. Пачовете бяха пуснати още през ноември, но информацията за този опасен бъг излиза едва сега.

Експерти по сигурността от Akamai публикуваха информация за изключително опасна уязвимост в Kubernetes, която може да позволи на потенциален нападател да изпълнява произволен код с повишени привилегии на Windows системи. Пробивът е възможен, ако са налице редица условия.

Според публикация на Томер Пелед, кодът може да се изпълнява на всички крайни точки в Kubernetes клъстер с най-високите привилегии за средата на Windows – SYSTEM. За да експлоатира уязвимостта, атакуващият трябва да постави специално подготвени YAML файлове в клъстера. YAML е популярен език за програмиране, използван в приложения, които обработват данни.

„Идентифицирана е уязвимост в Kubernetes, която позволява на потребител с възможност да създава „подове” (Pods) и постоянни томове на Windows хостове, да повиши своите привилегии до административно ниво”, се казва в изявление на екипа за поддръжка на Kubernetes. Твърди се, че уязвимостта засяга клъстерите на Kubernetes само когато се използва плъгин за дървовидно хранилище на данни.

Уязвимостта вече е идентифицирана с индекс CVE-2023-5528 и CVSS резултат от 7,2. Това е средно-високо ниво на заплаха, но то се умножава по разпространението на Kubernetes. Използването на тази уязвимост ще изисква определени усилия и спазване на редица условия от страна на потенциален атакуващ, но самият факт, че информацията за уязвимостта е публикувана едва след почти шест месеца, предполага, че тя изисква сериозно внимание.

Уязвимостта засяга всички Kubernetes версии, започвайки от 1.8.0. Отделно са коригирани версиите kubelet v1.28.4, v1.27.8, v1.26.11 и v1.25.16.

„Причината за възникване [на уязвимостта] e „опасно извикване на функция”, по-специално (MountSensistive)], и липса на почистване на потребителския вход”, пояснява Пелед. Функцията съдържа извикване от командния ред на exec.command, което създава символна връзка между местоположението на данните в тома на възела и вътре в „пода”.

„Това създава задна врата за атакуващия – той може да създаде PersistentVolume със специално конфигуриран параметър на пътя в YAML файла, който ще отвори вратата за инжектиране и изпълнение на команда с помощта на разделителя &&”, уточнява специалистът.

Пуснатият вече пач за уязвимостта замества небезопасното повикване с друга функция, която изпълнява същата задача.