Kubernetes için NGINX Giriş Denetleyicisinde Yeni Güvenlik Kusurları Keşfedildi - Dünyadan Güncel Teknoloji Haberleri

Kubernetes için NGINX Giriş Denetleyicisinde Yeni Güvenlik Kusurları Keşfedildi - Dünyadan Güncel Teknoloji Haberleri
http

“Giriş denetleyicilerinin tasarım gereği TLS gizli dizilerine ve Kubernetes API’ye erişiminin olması, onları yüksek ayrıcalık kapsamına sahip iş yükleri haline getiriyor ” API sunucusuna karşı kimlik doğrulama için istemci kimlik bilgisi NGINX Giriş denetleyicisi Bir tehdit aktörünün kümeden gizli kimlik bilgilerini çalmak amacıyla silah olarak kullanabileceği Kubernetes için paths[] 19 sürümüne güncellenmesinin CVE-2023-5043 ve CVE-2023-5044’ü çözdüğünü söyledi

“İçinde Giriş nesnesiHirschberg, “Operatör, hangi gelen HTTP yolunun hangi iç yola yönlendirileceğini tanımlayabilir” dedi

CVE-2022-4886, “spec

Hirschberg, “Her ne kadar farklı yönlere işaret etseler de, bu güvenlik açıklarının tümü aynı temel soruna işaret ediyor” dedi ingress “Güvenlik açığı olan uygulama, iç yolun geçerliliğini düzgün bir şekilde kontrol etmiyor ve hizmet hesabı jetonunu içeren dahili dosyayı işaret edebiliyor

Güvenlik açıkları aşağıdaki gibidir:

  • CVE-2022-4886 (CVSS puanı: 8,8) – Giriş-nginx ingress-nginx denetleyicisinin kimlik bilgilerini almak için yol temizleme işlemi atlanabilir
  • CVE-2023-5043 (CVSS puanı: 7,6) – Ingress-nginx açıklama eklemesi, rastgele komut yürütülmesine neden oluyor
  • CVE-2023-5044 (CVSS puanı: 7,6) – nginx rules”daki doğrulama eksikliğinin bir sonucu[]

    ARMO, “–enable-annotation-validation” komut satırı yapılandırmasının eklenmesiyle birlikte NGINX’in 1 ” söz konusu CVE-2023-5043 ve CVE-2023-5044

    Kusurların başarılı bir şekilde kullanılması, bir saldırganın giriş denetleyicisi sürecine rastgele kod eklemesine ve hassas verilere yetkisiz erişim sağlamasına olanak tanıyabilir ek kısıtlamalar uygulayın ”



    siber-2

    Düzeltmelerin olmaması durumunda, yazılımın geliştiricileri, “strict-validate-path-type” seçeneğinin etkinleştirilmesini ve geçersiz karakter ve kodlara sahip Ingress nesnelerinin oluşturulmasını önlemek için –enable-annotation-validation bayrağının ayarlanmasını içeren azaltıcı önlemler yayınladı


    30 Eki 2023Haber odasıKubernetes / Sunucu Güvenliği

    Üç yama yapılmamış yüksek önem dereceli güvenlik kusuru açıklandı path” alanı, Giriş nesnesine erişimi olan bir saldırganın Kubernetes API kimlik bilgilerini giriş denetleyicisinden almasına olanak tanır kubernetes Ayrıca, bunlar genellikle halka açık internete yönelik bileşenler olduklarından, kümeye kendileri aracılığıyla giren dış trafiğe karşı çok savunmasızlar io/permanent-redirect ek açıklaması aracılığıyla kod ekleme

Kubernetes güvenlik platformu ARMO’nun CTO’su ve kurucu ortağı Ben Hirschberg, “Bu güvenlik açıkları, Ingress nesnesinin yapılandırmasını kontrol edebilen bir saldırganın kümeden gizli kimlik bilgilerini çalmasına olanak tanıyor