اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
إصدارات kube-apiserver 1.31.11 والإصدارات الأقدم
إصدارات kube-apiserver 1.32.7 والإصدارات الأقدم
إصدارات kube-apiserver 1.33.3 والإصدارات الأقدم
الوصف:
يمكن للعقد المخترقة حذف نفسها وتغيير تسمياتها عبر OwnerReferences. يمكن للمهاجم الذي حصل على وصول إلى عقدة ما استخدام kubeconfig الخاص بـ kubelet للتحايل على NodeRestrictionPlugin عن طريق تعريف OwnerReference بكائن غير موجود في العقدة. يؤدي ذلك إلى حذف العقدة المخترقة ويسمح للمهاجم بتطبيق علامات التلوث (taints) أو العلامات على عقدة تم إنشاؤها حديثًا، مما يتيح له التحكم في الحاويات التي يتم تشغيلها على العقدة المخترقة التي أعيد إنشاؤها. يتضمن الإصلاح إضافة عمليات تحقق لمنع العقدة من تحديث ownerReference.
التوصيات:
قم بتحديث kube-apiserver إلى الإصدار 1.31.12 أو أحدث.
قم بتحديث kube-apiserver إلى الإصدار 1.32.8 أو أحدث.
قم بتحديث kube-apiserver إلى الإصدار 1.33.4 أو أحدث.
قم بتمكين المكون الإضافي OwnerReferencesPermissionEnforcement للتخفيف من حدة المشكلة.