2024-10-19 02:5:0 Author: mp.weixin.qq.com(查看原文) 阅读量:19 收藏
聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
该漏洞已在0.1.38中修复，项目维护人员向发现并报送该漏洞的研究员 Nicolai Rybnikar 致谢。
Red Hat 公司的 Joel Smith 在一份告警中提醒称，“Kubernetes Image Builder 中存在一个安全问题，默认凭据在镜像构建流程中被弃用。另外，使用 Proxmox 提供商构建的虚拟机镜像并未禁用这些默认凭据，使用这些镜像的节点可通过这些默认凭据进行访问。这些凭据可用于获得 root 访问权限。”
话虽如此，只有当 Kubernetes 集群节点使用的虚拟机镜像是通过提供商 Proxmox 的 Image Builder 项目创建时，这些集群才受漏洞影响。作为临时缓解措施，建议禁用受影响虚拟机上的构建者账户。另外建议用户使用已修复的 Image Builder 版本重构受影响镜像并在虚拟机上重新部署。
Kubernetes 团队部署的修复方案避开了在镜像构建过程中设置的随机生成密码的默认凭据。另外，该构建者账户在镜像构建流程结束时被禁用。
Kubernetes Image Builder 0.1.38版本还修复了一个相关漏洞（CVE-2024-9454，CVSS评分6.3）。该漏洞与通过 Nutanix、OVA、QEMU或其它提供商创建镜像构建时使用的默认凭据有关。该漏洞的严重性更低是因为通过这些提供商构建镜像的虚拟机，“只有在攻击者能够触及构建镜像的虚拟机且利用该漏洞在构建过程中修改镜像时”才会受影响。
此前，微软发布可导致提权和信息泄露的服务器端补丁：
CVE-2024-38139（CVSS评分8.7）：微软 Dataverse 中的认证不当漏洞，可导致授权攻击者在网络中提升权限。
CVE-2024-38204（CVSS评分7.5）：Imagine Cup 中的访问控制不当漏洞，可导致授权攻击者在网络中提升权限。
CVE-2024-38190（CVSS评分8.6）：Power Platform 中的授权缺失漏洞，可导致未认证攻击者通过网络攻击向量查看敏感信息。
前不久，Apache Solr 开源企业搜索引擎也修复了一个漏洞（CVE-2024-45216，CVSS评分9.8），可导致在可疑实例上绕过认证。该漏洞影响自 Solr 5.3.0起至8.11.4之前的版本以及9.0.0起至9.7.0之前的版本，已在8.11.4和9.7.0中修复。
研究员发现敏感 Kubernetes 机密被暴露，引发供应链攻击担忧
多个Kubernetes 高危漏洞可用于在 Windows 端点执行远程攻击
https://thehackernews.com/2024/10/critical-kubernetes-image-builder.html
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
如有侵权请联系:admin#unsafe.sh