不久前，研究人員在 Kubernetes 中發(fā)現(xiàn)的三個可被利用并相互關(guān)聯(lián)的高危安全漏洞，這些漏洞可在集群內(nèi)的 Windows 端點上以提升權(quán)限的方式實現(xiàn)遠程代碼執(zhí)行。

這些漏洞被標(biāo)記為 CVE-2023-3676、CVE-2023-3893 和 CVE-2023-3955，CVSS 評分為 8.8，影響所有帶有 Windows 節(jié)點的 Kubernetes 環(huán)境。繼 Akamai 于 2023 年 7 月 13 日披露后，這些漏洞的修復(fù)程序于 2023 年 8 月 23 日發(fā)布。

Akamai 安全研究員 Tomer Peled表示：該漏洞允許在 Kubernetes 集群內(nèi)的所有 Windows 端點上以 SYSTEM 權(quán)限遠程執(zhí)行代碼。要利用這個漏洞，攻擊者需要在集群上應(yīng)用惡意YAML文件。

亞馬遜網(wǎng)絡(luò)服務(wù)（AWS）、谷歌云（Google Cloud）和微軟Azure都發(fā)布了針對這些漏洞的公告，這些漏洞影響到以下版本的Kubelet：

• kubelet < v1.28.1
• kubelet < v1.27.5
• kubelet < v1.26.8
• kubelet < v1.25.13，以及
• kubelet < v1.24.17

簡而言之，CVE-2023-3676 允許擁有 "應(yīng)用 "權(quán)限（可與 Kubernetes API 交互）的攻擊者注入任意代碼，這些代碼將在具有 SYSTEM 權(quán)限的遠程 Windows 機器上執(zhí)行。

Peled 還指出，CVE-2023-3676要求的權(quán)限很低，因此為攻擊者設(shè)置的門檻也很低。他們需要的只是訪問節(jié)點和應(yīng)用權(quán)限。

該漏洞與 CVE-2023-3955 一樣，都是由于缺乏輸入清理而導(dǎo)致的，從而使特制的路徑字符串被解析為 PowerShell 命令的參數(shù)，從而有效地執(zhí)行命令。

另一方面，CVE-2023-3893 與容器存儲接口（CSI）代理中的權(quán)限升級案例有關(guān)，它允許惡意行為者獲得節(jié)點上的管理員訪問權(quán)限。

具體來說，在處理 Pod 定義時，軟件未能充分驗證或清理用戶輸入。這一疏忽使得惡意用戶能夠制作帶有環(huán)境變量和主機路徑的 pod，這些環(huán)境變量和主機路徑在處理時會導(dǎo)致權(quán)限升級等后果。

參考鏈接：https://thehackernews.com/2023/09/alert-new-kubernetes-vulnerabilities.html