0Xvijay

O endpoint de streaming gRPC do Traffic Manager Tunnel analisa um ID de sessão a partir dos primeiros bytes de uma mensagem controlada pelo chamador em pkg/tunnel/message.go e o passa para state.Tunnel sem verificar se o chamador possui a sessão ativa. Um invasor que obtenha um ID de sessão ativo válido através de vazamento de logs, canais internos do cluster ou o endpoint não autenticado ArriveAsClient pode anexar um túnel roteado a essa sessão e obter suas capacidades de roteamento de rede. IDs de sessão UUID4 tornam a força bruta a frio impraticável.

A API gRPC do Traffic Manager na porta 8081 aceita chamadores não autenticados da rede do cluster. A função `ArriveAsClient` armazena um `Namespace` fornecido pelo chamador baseando-se apenas na verificação da watchlist do gerenciador `ManagesNamespace`, e a função `CreateIntercept` permite atingir qualquer namespace gerenciado sem verificar o RBAC (Controle de Acesso Baseado em Função) do Kubernetes da sessão, que é um método de regular o acesso a recursos de computador ou rede com base nas funções de usuários individuais. Um invasor com acesso de rede ao gerenciador a partir de qualquer pod pode se registrar em um namespace gerenciado arbitrário, criar interceptações de serviço e receber tráfego interceptado para obter o ambiente de contêiner do pod vítima, incluindo segredos, tokens e chaves de API.

O manipulador HTTP falha ao aplicar wrappers de autorização aos endpoints de análise de trace-funnel. Isso permite que atacantes não autenticados enviem definições de funil arbitrárias para recuperar análises de rastreamento, incluindo identificadores, durações, contagens de span, topologia de serviço e atividade de erro, sem fornecer credenciais.

No compilador CEL do NamespacedMutatingPolicy, a biblioteca `generator` é exposta ao `matchConditions`, permitindo que uma política de escopo de namespace invoque a função `generator.apply(namespace, resources)` com um namespace de destino arbitrário. O processo de validação em `pkg/cel/policies/mpol/validate.go` apenas verifica se a política compila, sem impor o escopo do namespace, e a função `GenerateResources()` em `pkg/cel/libs/context.go` não rejeita alvos de namespaces diferentes. Um usuário com permissões para criar objetos `NamespacedMutatingPolicy` em um namespace específico pode explorar isso para forçar o controlador de admissão, que opera com privilégios de todo o cluster, a criar recursos como ConfigMaps, NetworkPolicies, Secrets e RoleBindings em qualquer outro namespace. Isso pode levar à modificação não autorizada de namespaces protegidos (ex: `kube-system`) e a uma potencial escalada de privilégios para níveis de administrador do cluster.

Em clusters multi-tenant que utilizam namespaces como limites de confiança, um locatário capaz de criar uma carga de trabalho controlada pelo controlador pode referenciar um FeatureFlagSource ou InProcessConfiguration em outro namespace usando a anotação `openfeature.dev/featureflagsource` com a sintaxe NAMESPACE/NAME. Isso permite que o operador de escopo de cluster leia o recurso externo e exponha valores literais de `spec.envVars`, `spec.httpSyncBearerToken`, URIs de sincronização e ConfigMaps associados dentro da carga de trabalho do locatário.

Traefik, an HTTP reverse proxy and load balancer, is susceptible to an identity impersonation issue. When the `headerField` configuration option is used with a non-canonical HTTP header name (for example, `x-auth-user` instead of `X-Auth-User`), an authenticated attacker can inject a canonical version of that header. This allows the attacker to impersonate any identity to the backend service. The backend receives two header entries, with the attacker-injected canonical version being read first, overriding Traefik's non-canonical write. This issue affects the Basic and Digest authentication middlewares. The vulnerability occurs because Traefik writes the authenticated username using a non-canonical map key, creating a separate header entry instead of overwriting the attacker's canonical one.