PT-2022-27692 · Kubeview · Kubeview
Omnisl4Sh
·
Publicado
2022-11-27
·
Atualizado
2024-02-02
·
CVE-2022-45933
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões 0.1.31 e anteriores do KubeView
Descrição
A vulnerabilidade permite que invasores obtenham controle de um cluster do Kubernetes, pois o endpoint
api/scrape/kube-system não exige autenticação e recupera arquivos de certificado que podem ser usados para autenticação como kube-admin. O fornecedor considera o KubeView um “projeto paralelo divertido e um exercício de aprendizagem”, e não “muito seguro”. Um incidente real envolveu um agente mal-intencionado extraindo credenciais e potencialmente obtendo controle de um cluster do Kubernetes durante um teste de penetração. A exploração envolveu navegar até uma interface do usuário (UI) vulnerável do KubeView, extrair informações confidenciais e configurações do cluster com um script personalizado.Recomendações
Para as versões 0.1.31 e anteriores, considere desativar o acesso ao endpoint
api/scrape/kube-system até que um patch esteja disponível. Restrinja o uso do certificado kube-admin para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Exploit
Missing Authentication
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Kubeview