Console operatorでテナント越えの権限昇格の恐れ
Summary
Strimzi と連携する Console の operator に、Console リソースを作れるテナントが強い権限を持つ Pod を自分で用意でき、他テナントの Kafka 関連リソースまで読み書きされる弱点が見つかりました。CVSS は 9.9 で、複数のチームや顧客で Kubernetes クラスターを共有している組織が主な対象です。修正版や悪用の有無は公表情報から確認できないため、まず自社の該当有無と権限設定を点検し、ベンダーの告知を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Strimzi と連携する Console の operator に、Console リソースを作れるテナントが強い権限を持つ Pod を自分で用意でき、他テナントの Kafka 関連リソースまで読み書きされる弱点が見つかりました。CVSS は 9.9 で、複数のチームや顧客で Kubernetes クラスターを共有している組織が主な対象です。修正版や悪用の有無は公表情報から確認できないため、まず自社の該当有無と権限設定を点検し、ベンダーの告知を確認してください。
Original description The description as published by the source.
A Kubernetes tenant with create permission on Console custom resources can set spec.containers.api.spec.image to an arbitrary container image. The operator deploys this image into a pod whose ServiceAccount is bound via ClusterRoleBinding to a ClusterRole granting cluster-wide get/list/watch on all Strimzi CRDs (including KafkaUsers), patch on Kafkas/KafkaRebalances, and cluster-monitoring-view. The attacker's code reads the projected SA token and gains cross-tenant Strimzi control-plane read+write access.
Source: NIST National Vulnerability Database NVD GitHub Advisory
References
- web secalert@redhat.com
- web secalert@redhat.com
- web nvd.nist.gov
- web github.com