Lỗ hổng Kubernetes cho phép thực thi mã từ xa trên điểm cuối Windows

09:00 | 01/04/2024 | LỖ HỔNG ATTT

Vừa qua, công ty bảo mật đám mây Akamai (Mỹ) đã đưa ra cảnh báo về việc khai thác lỗ hổng Kubernetes ở mức độ nghiêm trọng cao, có thể dẫn đến việc thực thi mã tùy ý với các đặc quyền hệ thống trên tất cả các điểm cuối Windows trong một cụm (cluster).

Lỗ hổng Kubernetes cho phép thực thi mã từ xa trên điểm cuối Windows

Lỗ hổng có mã định danh CVE-2023-5528 (điểm CVSS: 7.2), ảnh hưởng đến cài đặt Kubernetes mặc định, tồn tại ở cách hệ thống điều phối container nguồn mở xử lý các tệp YAML.

Ở một khía cạnh nào đó, lỗ hổng này tương tự với lỗ hổng CVE-2023-3676, đó là thiếu quá trình loại bỏ (sanitization) trong tham số subPath của tệp YAML, dẫn đến việc chèn mã khi tạo các Pod (đại diện cho một nhóm gồm một hoặc nhiều ứng dụng container, ví dụ như Docker hoặc rkt).

Lỗ hổng CVE-2023-3676 được xác định trong quá trình xử lý các tệp YAML của dịch vụ Kubelet trong Kubernetes chứa thông tin về cách gắn thư mục dùng chung, mặt khác lỗ hổng CVE-2023-5528 xảy ra khi tạo một Pod bao gồm ổ đĩa cục bộ, cho phép gắn các phân vùng đĩa.

Akamai cho biết một trong những chức năng mà dịch vụ Kubelet đạt được khi tạo một Pod như vậy sẽ tạo ra “liên kết tượng trưng (symlink) giữa vị trí của ổ đĩa trên nút và vị trí bên trong Pod” .

Vì hàm chứa lệnh gọi cmd, dấu nhắc lệnh của Windows hỗ trợ thực thi hai hoặc nhiều lệnh sau một mã thông báo đặc biệt, kẻ tấn công có thể kiểm soát một tham số trong quá trình thực thi cmd và chèn các lệnh tùy ý nhằm thực thi với các đặc quyền của Kubelet (đặc quyền hệ thống). Tuy nhiên, sự cố chỉ xảy ra khi chỉ định hoặc tạo một persistentVolume, một loại tài nguyên lưu trữ mà quản trị viên có thể tạo để cung cấp trước không gian lưu trữ và sẽ tồn tại sau vòng đời của Pod, đây là vị trí có thể chèn lệnh độc hại. Kẻ tấn công có thể thay đổi giá trị của tham số “local.path” bên trong tệp YAML persistentVolume để thêm một lệnh độc hại sẽ được thực thi trong quá trình cài đặt.

Để giải quyết vấn đề, Kubernetes đã xóa lệnh gọi cmd và thay thế nó bằng hàm Go gốc chỉ thực hiện thao tác liên kết tượng trưng. Tất cả các hoạt động triển khai Kubernetes phiên bản 1.28.3 trở về trước có nút Windows trong cụm đều dễ bị tấn công bởi CVE-2023-5528. Các tổ chức được khuyến khích nâng cấp lên Kubernetes phiên bản 1.28.4.

Akamai cho biết: “Vì vấn đề nằm trong mã nguồn nên mối đe dọa này sẽ vẫn còn hoạt động và việc khai thác nó có thể sẽ tăng lên, đây là lý do tại sao chúng tôi đặc biệt khuyến cáo người dùng nên vá cụm của họ ngay cả khi nó không có bất kỳ nút Windows nào”.

Hồng Đạt

(Tổng hợp)

‹ › ×

Tin liên quan

Lỗ hổng nghiêm trọng trong Jenkins dẫn đến thực thi mã từ xa

09:00 | 01/02/2024

Một lỗ hổng nghiêm trọng trong giao diện dòng lệnh (CLI) của Jenkins cho phép kẻ tấn công lấy được các khóa mật mã có thể được sử dụng để thực thi mã tùy ý từ xa.

Lỗ hổng Opera Myflaw cho phép tin tặc thực thi tệp bất kỳ trên macOS và Windows

09:00 | 13/02/2024

Các nhà nghiên cứu tới từ công ty an ninh mạng Guardio (Mỹ) tiết lộ một lỗ hổng bảo mật trong trình duyệt web Opera dành cho Microsoft Windows và Apple macOS có thể bị khai thác để thực thi tệp tùy ý trên hai hệ điều hành này.

Cảnh báo lỗ hổng thực thi mã từ xa trên Sophos Firewall

17:00 | 30/09/2022

Công ty phần mềm an ninh máy tính và bảo mật phần cứng Sophos (Anh) đã cảnh báo về lỗ hổng bảo mật nghiêm trọng trong sản phẩm Firewall của hãng đang bị khai thác trong thực tế.

Synology phát hành bản vá cho các lỗ hổng nghiêm trọng

09:00 | 03/04/2024

Mới đây, công ty Synology (Đài Loan) đã giải quyết các lỗ hổng nghiêm trọng trong các phiên bản phần mềm Surveillance Station DSM 7.2, DSM 7.1 và DSM 6.2. Các lỗ hổng này có thể gây ra việc mất dữ liệu, mất kiểm soát hệ thống và gián đoạn dịch vụ quan trọng.

Tin cùng chuyên mục

Nhóm tin tặc Việt Nam bị nghi đánh cắp dữ liệu tài chính ở châu Á

10:00 | 24/04/2024

Một nhóm tin tặc được cho là từ Việt Nam đang nhắm mục tiêu vào các tổ chức tài chính ở châu Á để đánh cắp các dữ liệu tài chính.

Phần mềm độc hại NKAbuse: Mối đe dọa mới với công nghệ Blockchain

08:00 | 12/01/2024

Trung tuần tháng 12, các nhà nghiên cứu của hãng bảo mật Kaspersky phát hiện một mối đe dọa đa nền tảng mới có tên là NKAbuse. Phần mềm độc hại này được viết bằng ngôn ngữ Golang, sử dụng công nghệ NKN (New Kind of Network) để trao đổi dữ liệu giữa các thiết bị mạng ngang hàng, được trang bị khả năng tạo backdoor và phát động các cuộc tấn công từ chối dịch vụ phân tán (DDoS), bên cạnh đó NKAbuse cũng có đủ sự linh hoạt để tạo các tệp nhị phân tương thích với nhiều kiến trúc khác nhau.

Phân tích biến thể mới của phần mềm độc hại SysJoker trong các cuộc tấn công mạng nhắm vào Israel

16:00 | 01/12/2023

Các nhà nghiên cứu an ninh mạng của hãng bảo mật Check Point cho biết đã phát một số biến thể mới của phần mềm độc hại SysJoker, trong đó bao gồm một biến thể được mã hóa bằng Rust, được các tin tặc ủng hộ Hamas sử dụng trong các cuộc tấn công mạng nhắm đến Israel, trong bối cảnh leo thang cuộc xung đột vũ trang giữa Israel và Hamas đang diễn ra. Trong bài viết này sẽ tập trung phân tích phiên bản Rust của SysJoker dựa trên báo cáo nghiên cứu mới đây của Check Point.

Lỗ hổng mới trong cảm biến vân tay cho phép kẻ tấn công vượt qua xác thực đăng nhập của Windows Hello

09:00 | 24/11/2023

Phân tích mới đây của công ty nghiên cứu bảo mật Blackwing Intelligence (Mỹ) cho biết nhiều lỗ hổng có thể bị khai thác để vượt qua xác thực Windows Hello trên máy tính xách tay Dell Inspiron 15, Lenovo ThinkPad T14 và Microsoft Surface Pro X. Các nhà nghiên cứu đã tìm ra điểm yếu trong cảm biến vân tay của Goodix, Synaptics và ELAN được nhúng vào thiết bị.