Vulnerabilidad en los pods de un clúster de Kubernetes en Weave Net (CVE-2020-26278)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

20/01/2021

Última modificación:

02/02/2021

Descripción

Weave Net es un software de código abierto que crea una red virtual que conecta contenedores Docker a través de múltiples hosts y permite su detección automática. Weave Net versiones anteriores a 2.8.0, presenta una vulnerabilidad en la que puede permitir a un atacante tomar el control de cualquier host del clúster. Weave Net es suministrado con un manifiesto que ejecuta pods en cada nodo de un clúster de Kubernetes, que son responsables de administrar las conexiones de red para todos los demás pods del clúster. Esto requiere mucho poder sobre el host, y el manifiesto establece "privileged: true", lo que le otorga ese poder. También configuró "hostPID: true", lo que le dio la capacidad de acceder a todos los demás procesos en el host y escribir en cualquier lugar del sistema de archivos root del host. Esta configuración no era necesaria y ha sido eliminada. Solo eres vulnerable si presentas una vulnerabilidad adicional (por ejemplo,&#xa0;un error en Kubernetes) o una mala configuración que permite a un atacante ejecutar código dentro del pod de Weave Net. No es conocido ningún error de este tipo en el momento de la publicación, y no se conocen casos en los que han sido explotadas. Weave Net versión 2.8.0, elimina la configuración de hostPID y mueve la instalación del plugin CNI hacia un contenedor de inicio. Los usuarios que no actualicen a la versión 2.8.0, pueden editar la línea hostPID en su manifiesto DaemonSet para decir falso en lugar de verdadero, organizar alguna otra forma de instalar plugins CNI (por ejemplo, Ansible) y eliminar esos montajes del manifiesto DaemonSet

Impacto

Vector 3.x

CVSS:3.1/AV:A/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.00 ALTA
Vector: CVSS:3.1/AV:A/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Vector de acceso (AV): Red adyacente
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.00

Gravedad 3.x

ALTA

Vector 2.0

AV:A/AC:M/Au:N/C:C/I:C/A:C CVSS v2.0 Severidad y Métricas:

Puntuación base: 7.90 ALTA
Vector: AV:A/AC:M/Au:N/C:C/I:C/A:C

Vector de acceso (AV): Red adyacente
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Completo
Impacto a la integridad (I): Completo
Impacto a la disponibilidad (A): Completo