Tim Allclair

تم اكتشاف ثغرة أمنية في Kubernetes، حيث يمكن أن يتسبب عدد كبير من طلبات نقاط التحقق الخاصة بالحاويات (container checkpoints) الموجهة إلى نقطة النهاية HTTP للقراءة فقط غير المصادق عليها الخاصة بـ kubelet في حدوث هجوم رفض الخدمة (DoS) على العقدة (Node) من خلال ملء القرص الخاص بالعقدة. ويمكن تحقيق ذلك عن طريق إرسال عدد كبير من الطلبات إلى منفذ HTTP للقراءة فقط — الذي يتم تمكينه افتراضيًا على المنفذ 10255 — لإنشاء نقاط تفتيش للحاويات، مما يؤدي إلى إنشاء ملفات نقاط تفتيش متعددة في /var/lib/kubelet/checkpoints. ومع ذلك، لكي تكون هذه الثغرة قابلة للاستغلال، يجب أن تتوافر عدة عوامل، بما في ذلك أن يكون المنفذ للقراءة فقط ممكّنًا، وأن يدعم وقت تشغيل الحاوية نقاط تفتيش الحاوية، وأن تكون بوابة الميزة ContainerCheckpoint ممكّنة في kubeapi.

A security issue was discovered in Kubelet that allows pods to bypass the seccomp profile enforcement. Pods that use localhost type for seccomp profile but specify an empty profile field are affected by this issue, allowing the pod to run in unconfined (seccomp disabled) mode. The issue is related to insufficient input validation, which can be exploited to configure certain modules to work in an unconfined mode.