A Kubernetes tenant with create permission on Console custom resources can set spec.containers...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Strimzi と連携する Console の operator に、Console リソースを作れるテナントが強い権限を持つ Pod を自分で用意でき、他テナントの Kafka 関連リソースまで読み書きされる弱点が見つかりました。CVSS は 9.9 で、複数のチームや顧客で Kubernetes クラスターを共有している組織が主な対象です。修正版や悪用の有無は公表情報から確認できないため、まず自社の該当有無と権限設定を点検し、ベンダーの告知を確認してください。
Description d'origine La description telle que publiée par la source (souvent en anglais).
A Kubernetes tenant with create permission on Console custom resources can set spec.containers.api.spec.image to an arbitrary container image. The operator deploys this image into a pod whose ServiceAccount is bound via ClusterRoleBinding to a ClusterRole granting cluster-wide get/list/watch on all Strimzi CRDs (including KafkaUsers), patch on Kafkas/KafkaRebalances, and cluster-monitoring-view. The attacker's code reads the projected SA token and gains cross-tenant Strimzi control-plane read+write access.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Références
- web secalert@redhat.com
- web secalert@redhat.com
- web nvd.nist.gov
- web github.com