【IT】「Kubernetes」に深刻な脆弱性

1: 田杉山脈 ★ 2018/12/04(火) 16:27:28.24 ID:CAP_USER

「Kubernetes」に初めて深刻な脆弱性が発見された。Kubernetesは最も人気のあるクラウドコンテナオーケストレーションシステムであるがゆえに、この日がくるのは時間の問題だったと言える。「CVE-2018-1002105」という脆弱性識別番号を割り当てられ、Kubernetesの権限昇格に関する脆弱性とも称されているこの脆弱性は深刻なものであり、共通脆弱性評価システム(CVSS)による深刻度は9.8(最大値は10.0)となっている。

特殊な細工が施されたネットワークリクエストを用いれば、誰でもKubernetes APIサーバ経由でバックエンドサーバとのコネクションを確立できる。そして、いったんコネクションを確立すれば、攻撃者はそのネットワーク接続を介してバックエンドに直接、任意のリクエストを送信できるようになる。それだけではない。こういったリクエストはKubernetes APIサーバのTLS資格情報を用いて認証されたものとなるのだ。

さらに、「デフォルト設定では、すべてのユーザー(認証の有無にかかわらない)に対して、この権限昇格を可能にするディスカバリAPI呼び出しの実行が許可されている」という。つまり、この脆弱性について知っている人物であれば誰でもKubernetesクラスタを手中に収めることができる。

そして、「この脆弱性が悪用されたかどうかを検知する簡単な方法は存在しない。というのも、こういった不正なリクエストは確立されたコネクションを介して行われるため、KubernetesのAPIサーバ監査ログやサーバログ上には記録されないためだ。このようなリクエストはkubeletやaggregated APIサーバのログ上には記録されるが、Kubernetes APIサーバを介した、適切なかたちで認証され、プロキシ化されたリクエストと区別することができない」という点だ。

つまり、Red Hatの言葉を借りると「この権限昇格の脆弱性により、Kubernetesのポッド内で稼働しているあらゆるコンピュートノードに対する完全な管理者権限を、任意のユーザーが得られるようになる。これは大問題だ。これにより攻撃者は機密データを盗み出したり、悪意のあるコードを注入できるようになるだけでなく、本番のアプリケーションやサービスを組織のファイアウォール内から停止させることも可能になる」という。

対策としては、Kubernetesのアップグレードが必要となる。Kubernetesの「v1.10.11」と「v1.11.5」「v1.12.3」「v1.13.0-rc.1」というパッチ適用済みバージョンが用意されている。

Kubernetesを利用しているあらゆるプログラムが脆弱な状態に置かれている。Kubernetesのディストリビューターらは既に修正を公開している。

Red Hatは「『Red Hat OpenShift Container Platform』や『Red Hat OpenShift Online』『Red Hat OpenShift Dedicated』を含む、(同社が提供しているすべての)Kubernetesベースのサービスや製品に影響が及んでいる」と報告するとともに、影響のあるユーザーに対するパッチやサービスアップデートの配信を開始している
https://japan.zdnet.com/article/35129584/

2: 名刺は切らしておりまして 2018/12/04(火) 16:32:20.04 ID:jU2puQgu
kupermentの脆弱性はどうなの?

 

3: 名刺は切らしておりまして 2018/12/04(火) 16:35:52.71 ID:sJmPLaE6
なんて読むんだかいまだに分からんやつ

 

5: 名刺は切らしておりまして 2018/12/04(火) 16:43:28.08 ID:n79b8kN9
初めて聞いたなぁ

 

7: 名刺は切らしておりまして 2018/12/04(火) 16:46:46.31 ID:cF9OMEqW
ゼロデイアタックくらうど
どうすっぺ

 

9: 名刺は切らしておりまして 2018/12/04(火) 17:01:54.73 ID:IKdGeo+z
自分には縁がないけど影響受ける人多そうだな

 

12: 名刺は切らしておりまして 2018/12/04(火) 18:24:52.54 ID:cF9OMEqW
>>9
開発者としては縁がなくても利用者としてはどこに使われてるか分かったものじゃないよ

 

10: 名刺は切らしておりまして 2018/12/04(火) 17:04:00.34 ID:7A+daXAA

クーベネテスか……
急激に盛り上がってる雰囲気を醸し出してるよね

どうでもいいけど、カタカナ4文字以内に略せないと日本では流行りにくいと思うw
かといって nginx をエンジンと略されるとイラッ☆とする

 

15: 名刺は切らしておりまして 2018/12/04(火) 20:10:07.99 ID:rDXhTYUK
>>10
そんなやついるの?

 

17: 名刺は切らしておりまして 2018/12/05(水) 00:49:57.58 ID:w6UufI+R
>>10
ノーノー、クゥーベィヌゥェエイテース

 

11: 名刺は切らしておりまして 2018/12/04(火) 17:05:37.50 ID:IKdGeo+z
k8sって略は無精な感じがして好きだけど読めないw

 

13: 名刺は切らしておりまして 2018/12/04(火) 18:57:09.89 ID:IYBIVxPG
これ代替品あるの?
コンテナ型仮想VM使う業界のみなさんどーすんの?

 

14: 名刺は切らしておりまして 2018/12/04(火) 19:00:15.78 ID:ku9d+3FS
>>13
Swarm辺りじゃね?

 

16: 名刺は切らしておりまして 2018/12/04(火) 23:23:52.65 ID:4mjJxp99
クーバネイティスじゃないの?

 

18: 名刺は切らしておりまして 2018/12/05(水) 00:59:32.00 ID:kRctsQsR
クベルネティスやろ

 

19: 名刺は切らしておりまして 2018/12/05(水) 01:11:54.51 ID:4strpFW6

やっぱりバカどもが読み方に拘ってるだけのスレ

お前らはこの脆弱性のヤバさが全然わかってないな

ウンコが「オナラです」って答えるくらいヤバい奴だぞ?

 

20: 名刺は切らしておりまして 2018/12/05(水) 06:58:56.80 ID:ECRqXIqB
マンコクパぁメイト

 

21: 名刺は切らしておりまして 2018/12/05(水) 07:01:15.81 ID:/NODIKUr
まあでもバージョンアップすればいいだけなら、粛々とやるだけだし

 

25: 名刺は切らしておりまして 2018/12/05(水) 19:38:54.41 ID:s0GPiGqt
googleのコンテナ群にも今までこの脆弱性があったてこと?

 

26: 名刺は切らしておりまして 2018/12/07(金) 07:38:45.21 ID:ltT5e59l
修正版が出てるからか?あまり騒ぎになってないのは

引用元

http://anago.2ch.sc/test/read.cgi/bizplus/1543908448/

管理人からひと言

騒がれるほど使われてるのか・・・・

 

関連記事

  1. 警視庁、無線通信をyoutubeにうpされ、削除要請、傍受した経緯を調べる

  2. 【セキュリティー】「Adobe Reader」の脆弱性を研究者が指摘–アドビはセキュリテ…

  3. IPアドレスから相手のパソコンを乗っ取ることってできるの?

  4. トレンドマイクロの一部ソフトウェアにネットの閲覧履歴を外部に送信する機能が含まれていたことが発覚

  5. 【IT】サイバー攻撃が発見されるまでの時間、日本が12カ国中で最も遅い結果に

  6. 【IT】カスペルスキー「スマホにウイルス対策ソフトは必要ない」

  7. IBMがセキュリティソフトを回避して特定の標的だけを攻撃するマルウェア「DeepLocker」を開発…

  8. 【社会】流出HD、暗号化なし 神奈川県の行政文書データ

  9. 【IT】ウェブ特化のセキュリティーの新試験、第一人者が監修

コメント

  1. この記事へのコメントはありません。

  1. この記事へのトラックバックはありません。

最近の人気記事

おすすめ記事

  1. カテゴリ_hardware
  2. カテゴリ_プログラム

新着記事

  1. プログラマーって実際めちゃくちゃきついん?
  2. プログラマー「めっちゃ頭いいです。休日も朝から晩まで勉強してます。でも平均年収3…
  3. 【衝撃】ITエンジニアぼく(27)、転職しただけで年収が460万円から970万円…
  4. 【企業】上司が部下を監視、「絶対やってはいけない」とマイクロソフトが警告
  5. Twitterで、外資ITコンサル転職したら単価75→350に上がったとか言って…

ボンブの戯言

  1. 【ボンブの戯言】フリーランスの実態調査をITエンジニアフリーランスの視点から見て…
  2. 【ボンブの戯言】サーバーって何なの(オンプレに限る)
  3. 【ボンブの戯言】ITエンジニアがフリーランスになる理由
  4. 【ボンブの戯言】ITエンジニアは、なぜうつ病になるのか
  5. 【ボンブの戯言】ITエンジニアが徹夜してでも間に合わせる理由
PAGE TOP