PT-2024-30561 · Kanister+1 · Kanister+1

Younaman · Publicado 2024-08-20 · Atualizado 2024-08-31 · CVE-2024-43403

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Kanister (versões afetadas não especificadas)

Descrição

O Kanister é uma ferramenta de gerenciamento de fluxos de trabalho para proteção de dados. O Kanister possui uma implantação chamada default-kanister-operator, que está vinculada a um ClusterRole chamado edit por meio de um ClusterRoleBinding. O ClusterRole “edit” é um dos ClusterRoles criados por padrão pelo Kubernetes e possui os verbos create/patch/update dos recursos daemonset, o verbo create dos recursos serviceaccount/token e o verbo impersonate dos recursos serviceaccounts. Um usuário mal-intencionado pode aproveitar o acesso ao nó de trabalho que possui esse componente para realizar uma escalada de privilégios no nível do cluster. Isso pode ser feito abusando dos verbos create/patch/update dos recursos daemonset para criar ou modificar um conjunto de Pods a fim de montar uma conta de serviço com privilégios elevados, ou usando o verbo create dos recursos serviceaccount/token para gerar novos tokens de conta de serviço e operar com funções de alto privilégio. Além disso, o verbo impersonate dos recursos serviceaccounts pode ser usado para se passar por contas de serviço com privilégios elevados, obtendo assim acesso a funções como administradores de cluster.

Recomendações

Para mitigar esse problema, defina o sinalizador rbac.create como false no gráfico Helm do Kanister, que controla se as regras RBAC para a conta de serviço do Kanister serão criadas. Isso exigirá que o usuário crie as regras RBAC por conta própria e limite as ligações de função para a conta de serviço do Kanister, por exemplo, o escopo

Exploit

Correção

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2024-43403

GHSA-H27C-6XM3-MCQP

GO-2024-3080

Produtos afetados

Kanister

Kubernetes

Referências · 22

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/43xxx/CVE-2024-43403.json · Exploit
• https://github.com/kanisterio/kanister/blob/master/helm/kanister-operator/templates/rbac.yaml#L49 · Nota
• https://github.com/kanisterio/kanister/security/advisories/GHSA-h27c-6xm3-mcqp · Nota
• https://github.com/kanisterio/kanister/wiki/2023%E2%80%9024-Community-Meeting-Notes · Nota
• https://github.com/kanisterio/kanister · Nota
• https://t.me/cvenotify/91433 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-43403 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1826054278588387477 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/1826463051953893393 · Publicação no Twitter
• https://osv.dev/vulnerability/GO-2024-3080 · Aviso do Fabricante
• https://twitter.com/vipr_lab/status/1827338953134850107 · Publicação no Twitter
• https://twitter.com/deepwebdig64758/status/1829852377400139885 · Publicação no Twitter
• https://twitter.com/Dinosn/status/1826453057191756253 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-43403 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1826008548444353009 · Publicação no Twitter