Критический недостаток Kubernetes Image Builder позволяет получить корневой доступ SSH к виртуальным машинам

Критическая уязвимость в Kubernetes может позволить получить несанкционированный SSH-доступ к виртуальной машине, на которой запущен образ, созданный с помощью проекта Kubernetes Image Builder.

Kubernetes - это платформа с открытым исходным кодом, которая помогает автоматизировать развертывание, масштабирование и эксплуатацию виртуальных контейнеров - легких сред для запуска приложений.

С помощью Kubernetes Image Builder пользователи могут создавать образы виртуальных машин (ВМ) для различных поставщиков кластерных API (CAPI), таких как Proxmox или Nutanix, которые работают в среде Kubernetes. Эти ВМ затем используются для установки узлов (серверов), которые становятся частью кластера Kubernetes.

Согласно сообщению на форумах сообщества Kubernetes, критическая уязвимость затрагивает образы ВМ, созданные с помощью провайдера Proxmox на Image Builder версии 0.1.37 или более ранней.

Проблема в настоящее время отслеживается как CVE-2024-9486 и заключается в использовании учетных данных по умолчанию, включенных в процессе создания образа и не отключенных после этого.

Угрожающий агент, зная об этом, может подключиться по SSH-соединению и использовать эти учетные данные для получения доступа с привилегиями root к уязвимым виртуальным машинам.

Решение состоит в том, чтобы пересобрать затронутые образы ВМ, используя Kubernetes Image Builder версии v0.1.38 или более поздней, который устанавливает случайно сгенерированный пароль во время процесса сборки, а также отключает учетную запись «builder» по умолчанию после завершения процесса.

Если обновление в данный момент невозможно, временным решением будет отключение учетной записи builder с помощью команды:

usermod -L builder

Более подробная информация о мерах по устранению проблемы и о том, как проверить, затронута ли ваша система, доступна на этой странице GitHub.

В бюллетене также предупреждается, что аналогичная проблема существует для образов, созданных с помощью провайдеров Nutanix, OVA, QEMU или raw, но она имеет средний уровень серьезности из-за дополнительных требований для успешной эксплуатации. Теперь уязвимость идентифицируется как CVE-2024-9594.

В частности, дефект может быть использован только в процессе сборки и требует, чтобы злоумышленник получил доступ к ВМ, создающей образ, и выполнил действия для сохранения учетных данных по умолчанию, что позволит в будущем получить доступ к ВМ.

Для CVE-2024-9594 применяются те же исправления и рекомендации по устранению.