Beveiligingsprobleem met CNI in oudere AKS-clusters en stappen voor risicobeperking
Publicatiedatum: 01 juni, 2020
Er is een beveiligingsprobleem vastgesteld met CNI (container networking implementation) in de CNI-invoegtoepassing v0.8.6 en ouder dat van invloed kan zijn op oudere AKS clusters (CVE-2020-10749).
Details
Een AKS-cluster dat is geconfigureerd voor het gebruik van een betrokken CNI-invoegtoepassing is ontvankelijk voor man-in-the-middle-aanvallen. Een schadelijke container kan door het verzenden van malafide routeradvertenties de host opnieuw configureren om het IPv6-verkeer van de host deels of helemaal om te leiden naar de container die door de aanvaller wordt beheerd. Zelfs als er eerder geen sprake was van IPv6-verkeer, proberen veel HTTP-bibliotheken bij het retourneren van A (IPv4)- en AAAA (IPv6)-records door de DNS eerst verbinding te maken via IPv6 voordat er wordt teruggevallen op IPv4, waardoor de aanvaller kan reageren.
Dit beveiligingsprobleem heeft een initiële gemiddelde ernst met score 6.0.
Analyse van beveiligingsproblemen en verificatie
Alle AKS-clusters die zijn gemaakt of bijgewerkt met een knooppunt-installatiekopie versie 2019.04.24 of later, zijn niet kwetsbaar, omdat net.ipv6.conf.all.accept_ra hierbij is ingesteld op 0 en TLS wordt afgedwongen met de juiste certificaatvalidatie.
Clusters die zijn gemaakt of voor het laatst zijn bijgewerkt vóór die datum, zijn ontvankelijk voor dit beveiligingsprobleem.
U kunt controleren of de huidige knooppunt-installatiekopie kwetsbaar is door https://aka.ms/aks/MitM-check-20200601 uit te voeren op een computer met CLI-toegang tot de knooppunten van het cluster.
Windows-knooppunten worden niet beïnvloed door dit beveiligingsprobleem.
Oplossingsstappen
Als u vaststelt dat er knooppunten kwetsbaar zijn, kunt u het beveiligingsrisico beperken door een clusterupgrade uit te voeren met de volgende opdracht:
$ az aks upgrade -n <clusternaam> -g <clusterresourcegroep> -k <nieuwere ondersteunde kubernetes-versie>.
Daarnaast is er een permanente oplossing voor deze CVE beschikbaar op: https://github.com/containernetworking/plugins/releases/tag/v0.8.6. Dit AKS-probleem is in de meest recente VHD-versie opgelost.
Meer informatie