搜索

[16337] 2021-01-19_CVE-2020-8554：Kubernetes的中间人漏洞

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2021-01-19_CVE-2020-8554：Kubernetes的中间人漏洞 C V E - 2 0 2 0 - 8 5 5 4 ： K u b e r n e t e s 的 中 间 人 漏 洞 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 1 - 1 9 漏 洞 概 述 漏 洞 概 述 2 0 2 0 年 1 2 月 4 日 ， K u b e r n e t e s 产 品 安 全 委 员 会 披 露 了 一 个 新 的 K u b e r n e t e s 漏 洞 ， 即 C V E - 2 0 2 0 - 8 5 5 4 。 这 是 一 个 中 危 漏 洞 ， 所 有 的 K u b e r n e t e s 版 本 都 会 受 到 该 漏 洞 的 影 响 。 该 漏 洞 允 许 K u b e r n e t e s 服 务 将 集 群 流 量 拦 截 至 任 意 I P 地 址 ， 任 何 可 以 管 理 服 务 的 用 户 可 以 利 用 此 漏 洞 对 群 集 中 的 P o d 和 节 点 执 行 中 间 人 （ M I T M ） 攻 击 。 攻 击 者 可 以 利 用 M I T M 攻 击 伪 装 成 内 部 或 外 部 节 点 ， 然 后 从 网 络 流 量 中 获 取 凭 证 ， 在 将 目 标 用 户 的 数 据 发 送 到 其 预 期 目 标 之 前 篡 改 目 标 用 户 的 数 据 ， 或 完 全 阻 止 其 与 特 定 I P 地 址 通 信 。 不 过 ， 如 果 使 用 了 T L S 址 类 的 加 密 协 议 的 话 ， 攻 击 者 就 没 那 么 轻 松 了 。 多 用 户 集 群 受 该 漏 洞 的 影 响 较 大 ， 因 为 它 们 最 有 可 能 拥 有 可 以 管 理 服 务 的 非 管 理 员 用 户 。 K u b e r n e t e s 产 品 安 全 委 员 会 确 定 ， 修 补 C V E - 2 0 2 0 - 8 5 5 4 将 导 致 K u b e r n e t e s 的 多 个 功 能 发 生 变 化 ， 因 此 短 期 内 没 有 解 决 该 漏 洞 的 方 案 。 相 反 ， 委 员 会 提 供 了 几 种 限 制 方 案 ， 可 以 缓 解 该 漏 洞 的 影 响 。 漏 洞 分 析 漏 洞 分 析 C V E - 2 0 2 0 - 8 5 5 4 源 于 K u b e r n e t e s 服 务 的 两 个 特 性 中 的 设 计 缺 陷 ： 外 部 I P 和 负 载 平 衡 器 I P 。 K u b e r n e t e s 服 务 是 将 运 行 在 一 组 P o d 上 的 应 用 程 序 公 开 为 网 络 服 务 的 抽 象 方 法 。 一 个 服 务 会 暴 露 在 一 个 或 多 个 I P 地 址 上 ， 一 旦 部 署 完 成 ， 集 群 中 的 节 点 将 把 发 往 服 务 I P 的 流 量 路 由 到 组 成 服 务 的 一 个 后 备 P o d 中 。 在 集 群 管 理 和 分 配 服 务 I P 时 ， 一 切 都 正 常 。 但 是 当 K u b e r n e t e s 用 户 能 够 为 其 服 务 分 配 任 意 I P 时 ， 问 题 就 出 现 了 。 在 这 种 情 况 下 ， 恶 意 用 户 可 以 分 配 已 被 其 他 节 点 （ 内 部 或 外 部 ） 使 用 的 I P ， 并 截 获 这 些 I P 的 所 有 群 集 流 量 。 我 们 有 两 种 方 法 可 以 控 制 服 务 的 I P ： 分 配 一 个 外 部 I P ； 通 过 l o a d B a l a n c e r . i n g r e s s . i p 字 段 来 分 配 一 个 负 载 均 衡 器 I P ， 这 个 方 法 要 求 p a t c h   s e r v i c e / s t a t u s 权 限 。 下 面 的 服 务 在 部 署 至 集 群 时 ， 将 会 把 所 有 的 集 群 D N S 流 量 拦 截 至 8 . 8 . 8 . 8 这 个 I P 地 址 （ G o o g l e 的 D N S 服 务 器 ） ， 然 后 路 由 到 e v i l - d n s - s e r v e r   P o d 中 ： 为 了 接 收 到 拦 截 的 流 量 ， 攻 击 者 必 须 控 制 支 持 其 恶 意 服 务 的 节 点 。 在 大 多 数 情 况 下 ， 我 们 会 选 择 一 个 P o d ， 不 过 服 务 也 可 以 由 外 部 节 点 （ 而 不 是 集 群 P o d ） 托 管 ， 这 意 味 着 攻 击 者 还 可 以 将 截 获 的 流 量 路 由 到 集 群 外 部 的 一 个 外 部 节 点 。 这 要 求 攻 击 者 创 建 指 向 外 部 地 址 的 K u b e r n e t e s 节 点 ， 这 需 要 c r e a t e   e n d p o i n t 权 限 。 C V E - 2 0 2 0 - 8 5 5 4 入 侵 标 识 符 入 侵 标 识 符 I o C 如 果 你 发 现 了 以 下 几 种 情 况 之 一 的 话 ， 说 明 你 可 能 受 到 攻 击 了 ： 服 务 不 应 该 暴 露 给 外 部 I P 或 负 载 均 衡 器 I P ； 一 个 服 务 的 外 部 I P 或 负 载 均 衡 器 I P 匹 配 集 群 中 的 一 个 外 部 I P 地 址 ， 比 如 说 一 个 P o d   I P 或 其 他 服 务 的 集 群 I P ； 一 个 服 务 的 外 部 I P 或 负 载 均 衡 器 I P 指 向 一 个 已 知 的 外 部 域 名 ， 比 如 说 8 . 8 . 8 ， 我 们 可 以 执 行 n s l o o k u p 来 判 断 一 个 I P 是 否 指 向 一 个 已 知 域 名 ；
一 个 服 务 的 负 载 均 衡 器 I P 为 0 . 0 . 1 ， 表 明 节 点 主 机 流 量 已 被 劫 持 ； 如 需 识 别 集 群 中 的 服 务 是 否 暴 露 给 了 外 部 I P 地 址 ， 可 以 运 行 下 列 命 令 ： 如 需 识 别 集 群 中 的 服 务 是 否 暴 露 给 了 负 载 均 衡 器 I P 地 址 ， 可 以 运 行 下 列 命 令 ： P r i s m a   C l o u d   C o m p u t e 缓 解 方 案 缓 解 方 案 P r i s m a   C l o u d   C o m p u t e 针 对 R e g o 规 则 内 置 的 A d m i s s i o n 支 持 ， 可 以 用 于 实 现 K u b e r n e t e s 产 品 安 全 委 员 会 提 出 的 缓 解 方 案 。 限 制 外 部 限 制 外 部 I P 访 问 访 问 客 户 可 以 使 用 以 下 方 法 设 置 许 可 规 则 ， 以 阻 止 服 务 访 问 外 部 I P ， 客 户 害 可 以 通 过 设 置 白 名 单 来 选 择 允 许 的 I P 地 址 。 按 照 P r i s m a   C l o u d   C o m p u t e 的 文 档 在 你 的 集 群 中 启 用 A d m i s s i o n   C o n t r o l 。 下 载 M i t i g a t i o n   f o r   K u b e r n e t e s   C V E - 2 0 2 0 - 8 5 5 4   –   E x t e r n a l   I P s 规 则 模 板 ， 我 们 可 以 使 用 下 列 命 令 下 载 规 则 ： 进 入 到 ‘ D e f e n d / A c c e s s / A d m i s s i o n ’ 并 点 击 ‘ I m p o r t ’ ， 然 后 选 择 已 下 载 好 的 规 则 模 板 ， 并 点 击 ‘ A d d ’ 按 钮 ： 要 将 某 些 I P 作 为 外 部 I P 使 用 ， 请 按 照 下 图 所 示 更 新 规 则 ， 以 下 规 则 白 名 单 I P 为 5 4 . 7 4 . 8 3 ： 规 则 设 置 好 之 后 ， 任 何 尝 试 将 服 务 暴 露 给 已 禁 止 的 外 部 I P 的 行 为 都 将 失 败 ， 并 且 还 会 触 发 警 报 。 总 结 总 结 k u b e c t l   g e t   s e r v i c e s   – a l l - n a m e s p a c e s   - o = j s o n p a t h = ' { “ N A M E S P A C E t N A M E t E X T E R N A L   I P S n ” } { r a n g e   . i t e m s [ ? ( . s p e c . e x t e r n a l I P s ) ] } { . m e t a d a t a . n a m e s p a c e } { “ t ” } { . m e t a d a t a . n a m e } { “ t ” } { . s p e c . e x t e r n a l I P s } { “ n ” } { e n d } ’   |   c o l u m n   - t   - s   “ $ ( p r i n t f   ‘ t ’ ) ” k u b e c t l   g e t   s e r v i c e s   – a l l - n a m e s p a c e s   - o = j s o n p a t h = ' { “ N A M E S P A C E t N A M E t L O A D   B A L A N C E R   I P s n ” } { r a n g e   . i t e m s [ ? ( . s t a t u s . l o a d B a l a n c e r . i n g r e s s [ * ] . i p ) ] } { . m e t a d a t a . n a m e s p a c e } { “ t ” } { . m e t a d a t a . n a m e } { “ t [ “ } { r a n g e   . s t a t u s . l o a d B a l a n c e r . i n g r e s s [ * ] } { “ ” ” } { . i p } { “ ” , ” } { e n d } { “ ] n ” } { e n d } ’   |   s e d   ‘ s / ( . * ) , / 1 / ’   | c o l u m n   - t   - s   “ $ ( p r i n t f   ‘ t ’ ) ” w g e t   h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / t w i s t l o c k / k 8 s - c v e - 2 0 2 0 - 8 5 5 4 - m i t i g a t i o n s / m a i n / P r i s m a E x t e r n a l I P s . j s o n
C V E - 2 0 2 0 - 8 5 5 4 是 一 个 独 特 的 漏 洞 ， 源 于 K u b e r n e t e s 服 务 的 设 计 缺 陷 。 如 果 您 的 集 群 是 多 用 户 集 群 ， 或 者 允 许 未 经 授 权 的 用 户 创 建 和 更 新 服 务 ， 那 么 您 将 有 可 能 受 到 该 漏 洞 的 影 响 。 如 果 集 群 中 的 应 用 程 序 没 有 通 过 T L S 强 制 加 密 通 信 ， 那 么 您 将 面 临 更 大 的 风 险 。 即 使 该 漏 洞 未 被 修 复 ， K u b e r n e t e s 产 品 安 全 委 员 会 提 出 的 缓 解 措 施 也 可 以 有 效 地 防 止 此 类 攻 击 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理