Podatności Cilium

Cilium, rozwiązanie do sieci, obserwowalności i bezpieczeństwa, przed wersjami 1.17.15, 1.18.9 i 1.19.3, mogło generować dane wrażliwe w wyniku działania narzędzia cilium-bugtool w środowiskach z włączonym szyfrowaniem WireGuard.

W Cilium przed wersjami 1.17.14, 1.18.8 i 1.19.2, gdy włączona jest funkcjonalność L7, wbudowana lub samodzielna instancja Envoy tworzy globalnie dostępny gniazdo admin.sock na węzłach klastra. Umożliwia to lokalnemu atakującemu dostęp do punktów końcowych administracyjnych Envoy, ujawnienie tajemnic TLS, zakłócenie ruchu w klastrze lub zatrzymanie Envoy.

Podatność w Cilium od wersji 1.19.0 do 1.19.4 powoduje, że reguły NetworkPolicy Kubernetes oparte na CIDR bez selektorów podów lub przestrzeni nazw błędnie generują regułę zezwalającą na ruch z wszystkich zasobów w tej samej przestrzeni nazw, gdy Cilium jest skonfigurowane z niestandardową nazwą klastra.

Podatność w Cilium umożliwia użytkownikom z uprawnieniami do tworzenia lub aktualizowania HTTPRoutes w przestrzeni nazw na mirrorowanie ruchu HTTP do dowolnego Serwisu w dowolnej przestrzeni nazw, z pominięciem mechanizmu autoryzacji ReferenceGrant. Funkcjonalność Gateway API jest domyślnie wyłączona.

Podatność w Cilium pozwala użytkownikom z uprawnieniami do tworzenia CiliumLocalRedirectPolicies na przechwytywanie ruchu do serwisów w dowolnej przestrzeni nazw poprzez określenie dowolnych adresów ClusterIP w polu addressMatcher. Usunięcie takiej polityki może również uszkodzić wewnętrzny stan serwisu Cilium i zatrzymać translację ruchu dla dotkniętego serwisu.

W Cilium przed wersjami 1.16.17, 1.17.10 i 1.18.4 polityki CiliumNetworkPolicy używające egress.toGroups.aws.securityGroupsIds do nieistniejących lub nieprzypisanych grup bezpieczeństwa AWS mogą nieumyślnie zezwalać na szerszy ruch wychodzący niż zamierzono. Sekcja toCIDRset pochodnej polityki nie jest generowana, co może dopuścić ruch do większej liczby miejsc docelowych.

Cilium, rozwiązanie do sieci, obserwowalności i bezpieczeństwa, przed wersją 1.13.4 miało lukę, która pozwalała na niezamierzone uzyskanie dostępu do sekretów i usług w różnych przestrzeniach nazw, gdy włączono API Gateway. Brak kontroli nad przestrzenią nazw przy tworzeniu ReferenceGrant umożliwiał atakującym wykorzystanie sekretów, które nie powinny być dla nich widoczne.