Podatności KubeVirt

W KubeVirt uwierzytelniony użytkownik z uprawnieniem do tworzenia Virtual Machine Instances (VMIs) może wywołać odmowę usługi (DoS), przesyłając definicję maszyny wirtualnej z pustym wolumenem efemerycznym. Komponent virt-controller nieprawidłowo waliduje konfigurację wolumenu, co prowadzi do nieobsłużonego wyjątku i awarii aplikacji podczas przetwarzania. Ponieważ błędna definicja pozostaje w klastrze, kontroler wchodzi w ciągłą pętlę awarii, zakłócając operacje cyklu życia maszyn wirtualnych w całym środowisku.

W KubeVirt w komponencie virt-handler stwierdzono podatność polegającą na nieprawidłowej walidacji dowiązań symbolicznych podczas łączenia z konsolami maszyn wirtualnych. Uwierzytelniony użytkownik OpenShift z uprawnieniami edycji w pojedynczej przestrzeni nazw może zastąpić gniazdo konsoli dowiązaniem symbolicznym do gniazda CRI-O hosta, przejmując uprzywilejowane połączenie virt-handlera.

Podatność polegająca na podążaniu za dowiązaniami symbolicznymi w KubeVirt's virt-handler migration proxy. Podczas migracji na żywo, virt-handler łączy się z gniazdami Unix wewnątrz docelowego poda virt-launcher przez ścieżki /proc/<pid>/root/ bez ochrony przed dowiązaniami symbolicznymi. Atakujący z uprawnieniami do edycji przestrzeni nazw i wykonywania poleceń w podach może podmienić gniazdo proxy migracji na dowiązanie symboliczne do gniazda CRI-O na hoście, co umożliwia pełne przejęcie węzła.

W KubeVirt znaleziono podatność w generatorze adnotacji sieciowych. Brak walidacji wartości networkName pozwala tenantowi z uprawnieniami kubevirt.io:edit na wstrzyknięcie kodu JSON do adnotacji v1.multus-cni.io/default-network. Gdy włączona jest funkcja ExternalNetResourceInjection (domyślnie wyłączona), Multus może podłączyć pod do dowolnej sieci w dowolnej przestrzeni nazw.

W KubeVirt znaleziono podatność w serwerze downward metrics virtio-serial. Serwer odczytuje żądania gościa za pomocą textproto.Reader.ReadLine(), który buforuje dane wejściowe bez ograniczenia długości lub limitu czasu, dopóki nie otrzyma znaku nowej linii. Użytkownik mający dostęp do maszyny wirtualnej z skonfigurowanym urządzeniem downward metrics virtio-serial może wysłać ciągły strumień bajtów, powodując nieograniczoną alokację pamięci w procesie virt-handler, aż do jego zabicia przez OOM.

W KubeVirt znaleziono podatność SSRF w handlerze port-forward virt-api. Podczas przetwarzania żądania port-forward do instancji VMI, virt-api odczytuje docelowy adres IP z vmi.Status.Interfaces[0].IP i przekazuje go bezpośrednio do net.Dial() bez walidacji. Dla VMI używających nie-maskujących wiązań sieciowych (bridge lub secondary-only), ten adres IP jest raportowany przez agenta QEMU działającego wewnątrz VM i jest w pełni kontrolowany przez właściciela VM.

W KubeVirt znaleziono lukę w obsłudze pamięci podręcznej sieci przez virt-handler. Funkcja WriteToCachedFile zapisuje dane do ścieżki w katalogu launcher bez ochrony przed dowiązaniami symbolicznymi, co pozwala użytkownikowi z dostępem do kontenera virt-launcher na nadpisanie dowolnego pliku hosta treścią JSON i zmianę jego właściciela.

W KubeVirt znaleziono lukę w serwerze powiadomień domeny virt-handler. Procedury obsługi gRPC dla HandleDomainEvent i HandleK8SEvent pobierają tożsamość VMI (przestrzeń nazw/nazwa) wyłącznie z treści żądania, bez weryfikacji jej względem źródła połączenia. Każdy proces virt-launcher łączy się przez gniazdo potoku per-VMI, ale żaden znacznik tożsamości nie jest propagowany ze ścieżki potoku do procedur obsługi serwera.

W pakiecie safepath projektu KubeVirt, używanym przez komponent virt-handler, wykryto lukę w funkcji OpenAtNoFollow. Funkcja ta używa flag O_PATH|O_NOFOLLOW do uzyskania deskryptora pliku, ale późniejsze operacje rozwijają ścieżkę przez /proc/self/fd/N z użyciem wywołań systemowych podążających za dowiązaniami symbolicznymi. Gdy liść ścieżki jest dowiązaniem symbolicznym, jądro je dereferencjonuje, omijając zamierzoną ochronę przed podążaniem za dowiązaniami.

W KubeVirt w komponencie virt-exportserver wykryto podatność na path traversal. Atakujący z dostępem do przestrzeni nazw może umieścić dowiązanie symboliczne w eksportowanym PVC, wskazujące poza katalog główny montowania, co umożliwia odczyt dowolnych plików z systemu plików poda eksportera.

Wada w logice oceny kontroli dostępu opartej na rolach (RBAC) w KubeVirt powoduje nieprawidłowe obcinanie nazw podzasobów, co prowadzi do błędnych decyzji autoryzacyjnych. Uwierzytelnieni użytkownicy z określonymi rolami mogą uzyskać nieautoryzowany dostęp do podzasobów lub zostać niesłusznie pozbawieni dostępu.

Funkcja hostDisk w KubeVirt pozwala montować w maszynie wirtualnej plik lub katalog hosta należący do użytkownika o UID 107. W wersjach przed 1.6.1 i 1.7.0 błąd logiczny w implementacji tej funkcji, w szczególności w opcji DiskOrCreate, pozwala atakującemu czytać i zapisywać dowolne pliki należące do bardziej uprzywilejowanych użytkowników systemu hosta. Podatność naprawiono w wersjach 1.6.1 i 1.7.0.