B0B0Haha

يقوم مكون المصادقة BasicAuth في منصة Kestra OSS لتنسيق سير العمل بتخزين كلمات المرور باستخدام خوارزمية SHA-512، التي تتميز بسرعة حسابية عالية. يمكن للمهاجم الذي يمتلك حق الوصول للقراءة إلى قاعدة بيانات PostgreSQL تنفيذ هجوم القوة الغاشمة دون اتصال بالإنترنت لاستعادة كلمة مرور المسؤول. في عمليات نشر Kubernetes، قد يؤدي ذلك إلى تصعيد الامتيازات الرأسي من خلال السماح للمهاجم بقراءة رمز ServiceAccount الخاص بالمجموعة وجميع أسرار K8s.

يوجد خطأ في آلية التفويض داخل الواجهة التجريبية `/v2`.

يؤدي غياب فحص التفويض في واجهة برمجة تطبيقات DataSource إلى السماح للمستخدمين غير المصادق عليهم بالكشف عن بيانات تعريفية عشوائية لمصادر البيانات. ويحدث ذلك لأن واجهة برمجة التطبيقات لا تتطلب تسجيل الدخول للوصول إلى المعلومات الحساسة المتعلقة ببيانات التعريف.

يعمل برنامج Capsule Controller بامتيازات «cluster-admin». يوجد عيب في الدالة `HandleSection()` الموجودة في الملف `internal/controllers/resources/processor.go`، حيث تفشل منطقية معالجة `TenantResource` `RawItems` في التحقق من صحة نطاقات الموارد بشكل صحيح. وبينما يحاول برنامج التحكم تعيين مساحة اسم باستخدام `obj.SetNamespace()`، يتم تجاهل هذا الإجراء من قِبل واجهة برمجة تطبيقات Kubernetes للموارد التي تقع ضمن نطاق المجموعة. ونتيجة لذلك، يمكن للمستخدمين الذين يتمتعون بامتيازات «مالك المستأجر» (Tenant Owner) الاستفادة من الأذونات المرتفعة لوحدة التحكم لإنشاء موارد على نطاق الكتلة، مثل `ClusterRole` و`ValidatingWebhookConfiguration`، والتي ليسوا مخولين بإنشائها مباشرةً. وقد يؤدي ذلك إلى تصعيد الامتيازات عبر المستأجرين، أو هجمات على مستوى الكتلة، أو سرقة البيانات الحساسة من جميع المستأجرين عبر webhooks ضارة، أو هجمات رفض الخدمة على نطاق الكتلة بأكملها.

يمكن للمستخدمين المصرح لهم في مساحة أسماء Kubernetes إنشاء مورد Build للتحكم في إنشاء Pods في مساحة أسماء من اختيارهم، بما في ذلك مساحة أسماء المشغل. تسمح هذه الثغرة عبر مساحات الأسماء للمستخدمين باختطاف Pods في مساحات الأسماء الآمنة من خلال مرجع يتم التحكم فيه خارجيًا لمورد في مجال آخر، وتجاوز التفويض عبر مفتاح يتحكم فيه المستخدم.

يمكن لمستخدم ضار يتمتع بأذونات لتعديل ConfigMap `local-path-config` في مساحة الأسماء `local-path-storage` التلاعب بقالب `helperPod.yaml`. يُستخدم هذا القالب لإنشاء HelperPods أثناء عمليات توفير PVC وعمليات التنظيف، ولكنه لا يخضع للتحقق الكافي قبل الاستخدام. يمكن للمهاجم إدخال حقول حساسة من الناحية الأمنية مثل `securityContext.privileged`، ووحدات التخزين `hostPath`، وإمكانيات Linux في القالب. عندما تؤدي عملية PVC إلى إنشاء HelperPod، يستخدم أداة التوفير القالب الذي يتحكم فيه المهاجم، مما قد يؤدي إلى تشغيل pod ذي امتيازات على العقدة المستهدفة مع تثبيت نظام الملفات الجذري للمضيف. وهذا يسمح للمهاجم بالوصول إلى ملفات المضيف الحساسة، وقراءة رموز ServiceAccount من pods أخرى على نفس العقدة، والوصول إلى بيانات وحدات التخزين ذات المسار المحلي الخاصة بالمستأجرين الآخرين، أو تعديل الملفات على عقدة المضيف.

يقبل خادم واجهة المستخدم (UI) WebSocket الاتصالات من جميع المصادر بشكل افتراضي، مما يعرض العديد من نقاط النهاية. يمكن لموقع ويب ضار يزوره مطور باستخدام متصفح إنشاء اتصال WebSocket عبر المصادر إلى ’ws://127.0.0.1:8090‘. وهذا يسمح بالوصول غير المصرح به إلى نقاط النهاية التالية: - ’/api/logs‘ لبث سجلات البود في الوقت الفعلي - ’/api/enter‘ لفتح شل تفاعلي داخل البود قيد التشغيل - ’/api/command‘ لتنفيذ أوامر خط الأنابيب المحددة مسبقًا

ميزة إعادة كتابة ملفات تعريف الارتباط (Cookie Rewriting) معرضة لحقن كود Lua. يمكن للمهاجم الذي يمتلك أذونات RBAC لإنشاء أو تعديل موارد HTTPProxy تزويد قيم ضارة في المتغيرات `spec.routes[].cookieRewritePolicies[].pathRewrite.value` أو `spec.routes[].services[].cookieRewritePolicies[].pathRewrite.value`، مما يؤدي إلى تنفيذ تعليمات برمجية تعسفية في وكيل Envoy. يحدث هذا لأن القيم التي يتحكم فيها المستخدم يتم إدراجها في كود Lua المصدري باستخدام Go text/template دون تطهير كافٍ. وعلى الرغم من أن الكود المُحقن لا يُنفَّذ إلا على المسار الخاص بالمهاجم نفسه، إلا أنه يمكن استخدامه لقراءة بيانات اعتماد عميل Envoy xDS من نظام الملفات — مما قد يؤدي إلى الكشف عن شهادات TLS والمفاتيح الخاصة للمستأجرين الآخرين — أو التسبب في رفض الخدمة للمستأجرين الآخرين الذين يتشاركون مثيل Envoy.

A server-side request forgery (SSRF) issue exists in the APICall feature. The `URL` field within a Policy's ServiceCall configuration lacks validation, allowing a user with namespace-level Policy creation permissions to force the system to make HTTP requests to arbitrary internal resources, such as cloud metadata endpoints or resources belonging to other tenants. This is a Confused Deputy problem, where the system uses its high-privilege cluster-wide ServiceAccount to execute requests. Consequently, sensitive data, including cloud IAM credentials and secrets from other tenants, may be returned in the PolicyReport and accessed by the attacker, compromising multi-tenant isolation.

نقطة النهاية ’/registercrd‘ في مكون kubeconfiggenerator معرضة لخطر حقن الأوامر. تحدث هذه المشكلة لأن المكون يستخدم الدالة `subprocess.Popen()` مع المعلمة `shell=True` لتنفيذ أوامر shell، حيث يقوم بربط المعلمة `chartName` التي يقدمها المستخدم مباشرةً بسلسلة الأوامر دون إجراء التنقية أو التحقق من الصحة بشكل صحيح. وهذا يسمح للمهاجم بتنفيذ أوامر shell تعسفية عن طريق توفير قيمة ضارة للمتغير `chartName`.

تحتوي إصدارات KubePlus 4.1.4 على مشكلة تزوير الطلبات من جانب الخادم (SSRF) داخل مكوني webhook وkubeconfiggenerator عند معالجة حقل `chartURL` لموارد ResourceComposition. يتم ترميز حقل `chartURL` كعنوان URL دون التحقق بشكل صحيح من عنوان الهدف. وعلى وجه التحديد، عندما يستخدم مكون kubeconfiggenerator أداة `wget` لتنزيل المخططات، يتم دمج `chartURL` مباشرةً في الأمر، مما يمكّن المهاجمين من إدخال خيار `--header` الخاص بـ `wget` وتحقيق حقن رأس HTTP تعسفي. لم يتم تحديد نقطة نهاية واجهة برمجة التطبيقات (API) المستخدمة لتنزيل المخططات. المعلمة المعرضة للخطر هي `chartURL`.

توجد مشكلة حقن SQL في SchemaHero الإصدار 0.23.0. ترجع المشكلة إلى عيب في الدالة `mysqlColumnAsInsert` الموجودة في الملف `plugins/mysql/lib/column.go`، ويتعلق هذا العيب تحديدًا بالمعلمة `column`. وهذا يتيح إمكانية التلاعب باستعلامات SQL. المعلمة `column` معرضة للخطر.

توجد ثغرة تتعلق بحقن SQL في SchemaHero الإصدار 0.23.0. وتقع هذه الثغرة في الدالة `columnAsInsert` داخل الملف `plugins/postgres/lib/column.go`، وتحديدًا من خلال المعلمة `column`. تسمح هذه الثغرة الأمنية بالتلاعب المحتمل باستعلامات SQL من خلال المعلمة `column`.

لا تقوم وحدة الوكيل (proxy) في Kube-router بالتحقق من صحة عناوين IP الخارجية أو عناوين IP لموزع الحمل قبل برمجتها في تكوين شبكة العقدة. ويؤثر ذلك على المجموعات متعددة المستأجرين (multi-tenant clusters) حيث يتمتع المستخدمون غير الموثوق بهم بأذونات على نطاق مساحة الاسم لإنشاء الخدمات أو تعديلها. تقوم الدالة `buildServicesInfo()` بنسخ عناوين IP من `Service.spec.externalIPs` و`status.loadBalancer.ingress` دون التحقق من صحتها مقابل المعلمة `--service-external-ip-range`. يمكن للمهاجم ربط عناوين VIP عشوائية على جميع عقد المجموعة أو التسبب في رفض الخدمة لخدمات المجموعة الحيوية مثل kube-dns. يتم استخدام المعلمة `--service-external-ip-range` فقط بواسطة وحدة netpol ولا يتم التحقق منها بواسطة وحدة الوكيل. وهذا يتيح للمهاجمين إمكانية اختطاف حركة المرور أو تعطيل خدمات DNS. يمكن استغلال هذه الثغرة الأمنية عن طريق إنشاء خدمة (Service) ذات عنوان IP خارجي (externalIP) مطابق لـ ClusterIP الخاص بـ kube-dns، وإعادة توجيه جميع استعلامات DNS إلى البودات (pods) التي يسيطر عليها المهاجم. هذه المشكلة ليست حصرية لـ kube-router، حيث حدد مشروع Kubernetes الأصلي مشكلة مماثلة برقم CVE-2020-8554.

يحتوي مكون Shell Runtime في Nuclio على ثغرة تتعلق بحقن الأوامر. عند استدعاء دالة عبر HTTP، يقرأ وقت التشغيل الرأس `X-Nuclio-Arguments` ويدمج قيمته مباشرةً في أوامر shell دون التحقق من صحتها أو تنقيتها. وهذا يسمح للمهاجمين الذين يمتلكون أذونات استدعاء الوظائف بحقن أوامر ضارة، مما قد يؤدي إلى تنفيذ تعليمات برمجية عشوائية بامتيازات الجذر (root) في حاويات الوظائف، وسرقة رموز ServiceAccount ذات أذونات على مستوى cluster-admin، وأخيرًا الحصول على السيطرة الكاملة على مجموعة Kubernetes. تنجم هذه الثغرة الأمنية عن عدم التحقق من صحة الحجج التي يقدمها المستخدم عند معالجتها في الدالة `getCommandArguments`، وما يتبع ذلك من تنفيذ هذه الحجج باستخدام `sh -c`. يمكن للمهاجمين استغلال ذلك عن طريق إنشاء حمولات ضارة في رأس `X-Nuclio-Arguments`، مستفيدين من أحرف الشيل الخاصة مثل الفاصلة المنقوطة والأنابيب وعلامات الإيقاف لإدخال أوامر تعسفية. تؤثر هذه الثغرة الأمنية على جميع الإصدارات التي تتضمن مكون Shell Runtime. وقد يؤدي الاستغلال الناجح لهذه الثغرة إلى اختراق الكتلة بالكامل، بما في ذلك انتهاكات البيانات وهجمات على سلسلة التوريد ونشر برامج الفدية.

يتيح Kruise الإدارة الآلية للتطبيقات في Kubernetes. توجد ثغرة في وظيفة PodProbeMarker حيث لا يقيد التحقق من صحة webhook حقل «Host» في إعدادات الفحص المخصصة التي تستخدم معالجات TCPSocket أو HTTPGet. ونظرًا لأن kruise-daemon يعمل مع تمكين hostNetwork، فإنه يجري عمليات الفحص من مساحة اسم شبكة العقدة. يمكن للمهاجم الذي يمتلك صلاحية إنشاء PodProbeMarkers تحديد قيم تعسفية لحقل «Host» لإحداث تزوير طلب من جانب الخادم (SSRF) من العقدة، وإجراء مسح للمنافذ، وتلقي ردود عبر رسائل الحالة الخاصة بـ NodePodProbe. تتيح هذه الثغرة الوصول إلى الخدمات المحلية للعقدة، وبيانات التعريف السحابية، وموارد الشبكة الداخلية. لا تزال عملية الاستقصاء `tcpSocket` معرضة للخطر، في حين يتم رفض عمليات الاستقصاء `httpGet` بواسطة webhook في OpenKruise v1.8.0. المكون المعرض للخطر هو `PodProbeMarker` والوظيفة المتأثرة هي `newTCPSocketProber`.

يقوم Kargo بإدارة وأتمتة عملية نشر مكونات البرامج. تقبل نقاط النهاية الخاصة بإنشاء الموارد دفعة واحدة، سواء في واجهة برمجة التطبيقات (API) gRPC القديمة لـ Kargo أو في واجهة برمجة التطبيقات (API) REST الأحدث، أحمالًا مفيدة بتنسيق YAML تحتوي على مستندات متعددة. قد تسمح الأحمال المفيدة المصممة خصيصًا لمهاجم بإدخال موارد عشوائية في مساحة الأسماء الأساسية لمشروع موجود، باستخدام أذونات خادم واجهة برمجة التطبيقات (API) نفسها، في حين أن هذا السلوك غير مقصود. يمكن استغلال ذلك لرفع مستوى الأذونات، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد أو تسريب الأسرار. ويمكن استخدام بيانات الاعتماد المسربة من مستودعات المكونات في شن هجمات إضافية. وفي بعض تكوينات مجموعات Kubernetes، قد تسمح الأذونات المرتفعة بتنفيذ التعليمات البرمجية عن بُعد أو تسريب الأسرار باستخدام `kubectl`. **نقاط نهاية واجهة برمجة التطبيقات (API)** المتأثرة هي نقاط نهاية إنشاء الموارد دفعة واحدة لكل من واجهة برمجة التطبيقات gRPC القديمة وواجهة برمجة التطبيقات REST الأحدث. تنشأ المشكلة من منطق عمل نقاط النهاية هذه عند معالجة أحمال YAML التي تحتوي على مستندات متعددة. يمكن للمهاجم استغلال ذلك لحقن موارد في المشاريع (Projects) الموجودة.

يقوم Kargo بإدارة وأتمتة عملية نشر مكونات البرامج. يتضمن نموذج التفويض فعل «promote» المخصص للتحكم في الوصول إلى مسارات الترقية. وعلى الرغم من تطبيقه بشكل صحيح في واجهة برمجة التطبيقات gRPC، إلا أن ثلاث نقاط نهاية لواجهة برمجة التطبيقات REST تتجاهل هذا التحقق، معتمدةً فقط على نظام RBAC القياسي في Kubernetes. وهذا يسمح للمستخدمين الذين يتمتعون بأذونات قياسية، ولكن دون وصول صريح إلى «promote»، بالالتفاف على حدود التفويض المقصودة. **نقاط نهاية واجهة برمجة التطبيقات** المتأثرة هي /v1beta1/projects/{project}/freight/{freight}/approve، و/v1beta1/projects/{project}/stages/{stage}/promotions، و/v1beta1/projects/{project}/stages/{stage}/promotions/downstream. تنجم المشكلة عن عدم وجود تحقق من التفويض للفعل ”promote“ في نقاط النهاية هذه.

لا يحتوي مكون Air Traffic Controller (ATC) في Yoke على آليات مصادقة مناسبة لنقاط نهاية webhook الخاصة به. وهذا يسمح لأي pod داخل شبكة الكلستر بإرسال طلبات AdmissionReview مباشرةً إلى webhook، متجاوزًا بذلك مصادقة خادم واجهة برمجة تطبيقات Kubernetes. يمكن للمهاجمين استغلال هذه الثغرة لتشغيل وحدات WASM في سياق وحدة التحكم ATC دون إذن. تشمل نقاط النهاية المعرضة للخطر ’/validations/{airway}‘ و'/validations/resources' و'/validations/flights.yoke.cd' و'/validations/airways.yoke.cd' و'/crdconvert/{airway}'. تنبع المشكلة من عدم وجود تحقق من شهادة عميل TLS، أو التحقق من مصدر الطلب، أو أي شكل من أشكال برامج الوساطة للمصادقة في تنفيذ معالج HTTP. يمكن للمهاجم إرسال طلبات AdmissionReview مصممة خصيصًا إلى نقاط النهاية هذه، مما قد يؤدي إلى التنفيذ غير المصرح به لـ WASM، وبالاقتران مع ثغرات أخرى، إلى إنشاء موارد Kubernetes عشوائية. تشمل الآثار مخاطر محتملة على السرية والسلامة والتوافر.

يحتوي مكون Air Traffic Controller (ATC) في برنامج Yoke على ثغرة تسمح للمستخدمين الذين يتمتعون بأذونات إنشاء/تحديث الموارد المخصصة (CR) بتنفيذ تعليمات برمجية WASM تعسفية. ويتم ذلك عن طريق حقن عنوان URL ضار عبر التعليق التوضيحي `overrides.yoke.cd/flight`. يقوم وحدة التحكم ATC بتنزيل وحدة WASM وتنفيذها دون التحقق من صحة عنوان URL، مما يتيح للمهاجمين إنشاء موارد Kubernetes تعسفية أو رفع مستوى امتيازاتهم. تكمن الثغرة الأمنية في معالجة التعليق التوضيحي `overrides.yoke.cd/flight`، حيث يستخدم وحدة التحكم عنوان URL المقدم من المستخدم مباشرةً دون التحقق منه بشكل مناسب. يقتصر التحقق من الأذونات على تأكيد وجود إذن `update` على الموارد `airways`، مما يفشل في منع تنفيذ كود WASM تعسفي. يُظهر «إثبات المفهوم» (PoC) إنشاء وحدة WASM ضارة تُنشئ ConfigMap باسم «stolen-credentials» في المجموعة، مما يثبت تنفيذ كود تعسفي. تُصنف هذه الثغرة الأمنية على أنها «تنفيذ كود عن بُعد» (RCE) / «حقن كود». يمكن للمهاجمين الذين يمتلكون أذونات إنشاء/تحديث CR والوصول إلى الشبكة لاستضافة WASM ضار استغلال هذه الثغرة. وتشمل الآثار احتمال انتهاك السرية والسلامة والتوافر.