Noticias
Red Hat alerta sobre la vulnerabilidad que permite el acceso y el ataque a clusters de kubernetes
Red Hat ha hecho pública una nota en la que reconoce como vulnerabilidad crítica la CVE-2018-1002105, un fallo que permite el acceso a usuarios sin privilegios a clusters de kubernetes y datos asociados a los que de otra forma no podrían acceder. Una vulnerabilidad calificada como crítica y que afecta a las soluciones de Red Hat OpenShift Container Platform 3.x y versiones posteriores, así como a OpenShift Online y OpenShift Dedicated
En concreto, a través de la CVE-2018-1002105 usuarios malintencionados podrían explotar este fallo de dos formas: la primera implicaría el abuso de privilegios de la instancia pod exec otorgados a un usuario normal, y la segunda consistiría en la posibilidad de atacar la función de extensiones de API que proporciona el catálogo de servicios y el acceso a funciones adicionales en Kubernetes 1.6 y versiones posteriores.
El estándar de facto en la orquestación de contenedores, kubernetes, a menudo es visto por las empresas como un componente clave de la transformación digital. Vulnerabilidades como la CVE-2018-1002105 pueden retrasar o hacer descarrilar totalmente las estrategias, haciendo reseñable la necesidad de trabajar con un partner consolidado para crear y mantener un impacto como el de kubernetes más seguro
Tracy Rankin
Desde el equipo de seguridad de producto de Red Hat se califica esta vulnerabilidad como crítica, dada la facilidad de explotación y el impacto potencial sobre las operaciones de producción.
Explotando este fallo, un usuario malintencionado con privilegios Pod exec/attach/portforward podría aumentar sus privilegios a los de administrador de clúster, pudiendo lograr cualquier llamada de API a API de Kubelet de nodo de cómputo.
Esto significa que este usuario podría acceder a cualquier contenedor que se ejecute en el mismo nodo que su pod, permitiéndole acceder a cargas de trabajo y datos sensibles, e incluso a aplicaciones de producción.
En caso de aplicarse el segundo método de explotación, un usuario no autenticado podría explotar la función de extensión de API utilizada por las métricas y el catálogo de servicios en kubernetes.
Este supuesto usuario podría obtener privilegios de administrador de clúster para el agente de servicios, lo que permite la creación de servicios de intermediario en cualquier espacio de nombres y en cualquier nodo. Efectivamente, explotar la falla de esta manera permitiría la creación de nuevos servicios que no están aprobados, haciendo posible la inyección de código malicioso.
Recomendaciones de Red Hat
Red Hat recomienda que los clientes que ejecutan cualquier producto que se haya visto afectado apliquen inmediatamente los parches apropiados o se aseguren de que su servicio se haya actualizado para reflejar las correcciones.
Asimismo, los que ejecuten OpenShift Online o Starter no tienen que llevar a cabo ninguna acción, ya que las operaciones de Red Hat han estado implementando activamente correcciones para estos entornos.
Por su parte, los usuarios de OpenShift Dedicated deben ponerse en contacto con su responsable de soporte para decidir el momento adecuado en que implementar las actualizaciones en sus entornos.
Para Tracy Rankin, director senior de OpenShift Engineering en Red Hat, “el estándar de facto en la orquestación de contenedores, kubernetes, a menudo es visto por las empresas como un componente clave de la transformación digital. Vulnerabilidades como la mencionada pueden retrasar o hacer descarrilar totalmente las estrategias, haciendo reseñable la necesidad de trabajar con un partner consolidado para crear y mantener un impacto como el de kubernetes más seguro”.
Asimismo, “Red Hat se enorgullece de haber trabajado en estrecha colaboración con la comunidad de kubernetes para evaluar y, en última instancia, corregir este fallo”. Más información en https://access.redhat.com/security/vulnerabilities/3716411 y en el vídeo:
Publicidad
Últimas Noticias
- 21/03/2024Seis pasos para implementar la IA en la organización y desbloquear el potencial de la innovación
- 28/12/2023Microsoft certifica los servicios de su región cloud en España en conformidad con el Nivel Alto del Esquema Nacional de Seguridad
- 23/12/2023Hitachi Vantara integra su UCP con Google Cloud y simplifica la gestión de la nube híbrida
- 10/12/2023Van Oord actualiza su herramienta para la visualización de riesgos climáticos basada en tecnología Qlik
Destacamos
- El Data Fabric, clave para impulsar la digitalización del sector público
La digitalización de las organizaciones públicas es una cuestión crucial en un mundo cada vez más conectado y avanzado tecnológicamente. Para Julio Campoy, vicepresidente de Appian, una transformación esencial para facilitar y simplificar tanto los procesos internos como para los que se dirigen a los ciudadanos y en la que el Data Fabric cobra singular importancia
Publicidad