【IT】「Kubernetes」に深刻な脆弱性

1: 田杉山脈 ★ 2018/12/04(火) 16:27:28.24 ID:CAP_USER

「Kubernetes」に初めて深刻な脆弱性が発見された。Kubernetesは最も人気のあるクラウドコンテナオーケストレーションシステムであるがゆえに、この日がくるのは時間の問題だったと言える。「CVE-2018-1002105」という脆弱性識別番号を割り当てられ、Kubernetesの権限昇格に関する脆弱性とも称されているこの脆弱性は深刻なものであり、共通脆弱性評価システム(CVSS)による深刻度は9.8(最大値は10.0)となっている。

特殊な細工が施されたネットワークリクエストを用いれば、誰でもKubernetes APIサーバ経由でバックエンドサーバとのコネクションを確立できる。そして、いったんコネクションを確立すれば、攻撃者はそのネットワーク接続を介してバックエンドに直接、任意のリクエストを送信できるようになる。それだけではない。こういったリクエストはKubernetes APIサーバのTLS資格情報を用いて認証されたものとなるのだ。

さらに、「デフォルト設定では、すべてのユーザー(認証の有無にかかわらない)に対して、この権限昇格を可能にするディスカバリAPI呼び出しの実行が許可されている」という。つまり、この脆弱性について知っている人物であれば誰でもKubernetesクラスタを手中に収めることができる。

そして、「この脆弱性が悪用されたかどうかを検知する簡単な方法は存在しない。というのも、こういった不正なリクエストは確立されたコネクションを介して行われるため、KubernetesのAPIサーバ監査ログやサーバログ上には記録されないためだ。このようなリクエストはkubeletやaggregated APIサーバのログ上には記録されるが、Kubernetes APIサーバを介した、適切なかたちで認証され、プロキシ化されたリクエストと区別することができない」という点だ。

つまり、Red Hatの言葉を借りると「この権限昇格の脆弱性により、Kubernetesのポッド内で稼働しているあらゆるコンピュートノードに対する完全な管理者権限を、任意のユーザーが得られるようになる。これは大問題だ。これにより攻撃者は機密データを盗み出したり、悪意のあるコードを注入できるようになるだけでなく、本番のアプリケーションやサービスを組織のファイアウォール内から停止させることも可能になる」という。

対策としては、Kubernetesのアップグレードが必要となる。Kubernetesの「v1.10.11」と「v1.11.5」「v1.12.3」「v1.13.0-rc.1」というパッチ適用済みバージョンが用意されている。

Kubernetesを利用しているあらゆるプログラムが脆弱な状態に置かれている。Kubernetesのディストリビューターらは既に修正を公開している。

Red Hatは「『Red Hat OpenShift Container Platform』や『Red Hat OpenShift Online』『Red Hat OpenShift Dedicated』を含む、(同社が提供しているすべての)Kubernetesベースのサービスや製品に影響が及んでいる」と報告するとともに、影響のあるユーザーに対するパッチやサービスアップデートの配信を開始している
https://japan.zdnet.com/article/35129584/

2: 名刺は切らしておりまして 2018/12/04(火) 16:32:20.04 ID:jU2puQgu
kupermentの脆弱性はどうなの?

3: 名刺は切らしておりまして 2018/12/04(火) 16:35:52.71 ID:sJmPLaE6
なんて読むんだかいまだに分からんやつ

5: 名刺は切らしておりまして 2018/12/04(火) 16:43:28.08 ID:n79b8kN9
初めて聞いたなぁ

7: 名刺は切らしておりまして 2018/12/04(火) 16:46:46.31 ID:cF9OMEqW
ゼロデイアタックくらうど
どうすっぺ

9: 名刺は切らしておりまして 2018/12/04(火) 17:01:54.73 ID:IKdGeo+z
自分には縁がないけど影響受ける人多そうだな

12: 名刺は切らしておりまして 2018/12/04(火) 18:24:52.54 ID:cF9OMEqW
>>9
開発者としては縁がなくても利用者としてはどこに使われてるか分かったものじゃないよ

10: 名刺は切らしておりまして 2018/12/04(火) 17:04:00.34 ID:7A+daXAA

クーベネテスか……
急激に盛り上がってる雰囲気を醸し出してるよね

どうでもいいけど、カタカナ4文字以内に略せないと日本では流行りにくいと思うw
かといって nginx をエンジンと略されるとイラッ☆とする

15: 名刺は切らしておりまして 2018/12/04(火) 20:10:07.99 ID:rDXhTYUK
>>10
そんなやついるの?

17: 名刺は切らしておりまして 2018/12/05(水) 00:49:57.58 ID:w6UufI+R
>>10
ノーノー、クゥーベィヌゥェエイテース

11: 名刺は切らしておりまして 2018/12/04(火) 17:05:37.50 ID:IKdGeo+z
k8sって略は無精な感じがして好きだけど読めないw

13: 名刺は切らしておりまして 2018/12/04(火) 18:57:09.89 ID:IYBIVxPG
これ代替品あるの?
コンテナ型仮想VM使う業界のみなさんどーすんの?

14: 名刺は切らしておりまして 2018/12/04(火) 19:00:15.78 ID:ku9d+3FS
>>13
Swarm辺りじゃね?

16: 名刺は切らしておりまして 2018/12/04(火) 23:23:52.65 ID:4mjJxp99
クーバネイティスじゃないの?

18: 名刺は切らしておりまして 2018/12/05(水) 00:59:32.00 ID:kRctsQsR
クベルネティスやろ

19: 名刺は切らしておりまして 2018/12/05(水) 01:11:54.51 ID:4strpFW6

やっぱりバカどもが読み方に拘ってるだけのスレ

お前らはこの脆弱性のヤバさが全然わかってないな

ウンコが「オナラです」って答えるくらいヤバい奴だぞ?

20: 名刺は切らしておりまして 2018/12/05(水) 06:58:56.80 ID:ECRqXIqB
マンコクパぁメイト

21: 名刺は切らしておりまして 2018/12/05(水) 07:01:15.81 ID:/NODIKUr
まあでもバージョンアップすればいいだけなら、粛々とやるだけだし

25: 名刺は切らしておりまして 2018/12/05(水) 19:38:54.41 ID:s0GPiGqt
googleのコンテナ群にも今までこの脆弱性があったてこと?

26: 名刺は切らしておりまして 2018/12/07(金) 07:38:45.21 ID:ltT5e59l
修正版が出てるからか?あまり騒ぎになってないのは

引用元

【IT】「Kubernetes」に深刻な脆弱性

管理人からひと言

騒がれるほど使われてるのか・・・・

スポンサーリンク
スポンサーリンク
スポンサーリンク

シェアする

フォローする