Podatności Kuma

W Kuma przed wersjami 2.7.26, 2.9.16, 2.11.14, 2.12.11 i 2.13.7 połączenia kuma-dp w trybie Universal do płaszczyzny kontrolnej HTTPS wyłączają weryfikację peera TLS, gdy nie podano --ca-cert-file i nie ustawiono KUMA_CONTROL_PLANE_CA_CERT. Token uwierzytelniający dataplane jest wysyłany przez niezweryfikowane połączenie, co pozwala atakującemu w ścieżce sieci przechwycić token, podszyć się pod płaszczyznę kontrolną, wstrzyknąć sfałszowaną konfigurację bootstrap i przejąć proxy.

W Kuma przed wersjami 2.7.26, 2.9.16, 2.11.14, 2.12.11 i 2.13.7 profil kumactl ręcznie skonfigurowany dla płaszczyzny kontrolnej HTTPS bez --ca-cert-file wyłącza weryfikację peera TLS i wysyła tokeny API przez niezweryfikowane połączenie. Atakujący w ścieżce sieci może przechwycić tokeny API użytkownika lub administratora i działać wobec płaszczyzny kontrolnej jako ten użytkownik.

Gdy kuma-dp jest uruchamiany wobec płaszczyzny sterowania HTTPS bez podania certyfikatu CA, połączenie jest nawiązywane z wyłączoną weryfikacją TLS, a token uwierzytelniający dataplane jest wysyłany przez to niezweryfikowane połączenie.

Gdy operator dodaje profil płaszczyzny sterowania HTTPS do kumactl bez podania certyfikatu CA, kumactl wyłącza weryfikację TLS i wysyła tokeny API przez niezweryfikowane połączenie.

Walidator tokenów dataplane w kuma-cp wykonuje niesprawdzoną asercję typu Go na nagłówku kid w JWT. Token z kid będącym liczbą JSON jest dekodowany jako float64 i powoduje panikę w czasie wykonania przed jakąkolwiek weryfikacją podpisu, roszczeń lub autoryzacji.

Kuma przed wersjami 2.7.25, 2.9.15, 2.11.13, 2.12.10 i 2.13.5 ma domyślną konfigurację kuma-cp, która ujawnia token bootstrap administratora i klucze podpisujące dowolnej stronie internetowej odwiedzanej przez operatora, gdy płaszczyzna kontroli jest osiągalna z przeglądarki. Ustawienia CorsAllowedDomains: [".*"] odzwierciedlają dowolne Origin, a LocalhostIsAdmin: true promuje żądania z 127.0.0.1 do mesh-system:admin.