Vulnerabilidade crítica foi identificada no Kubernetes Image Builder, que, se explorada com sucesso, pode permitir que invasores obtenham acesso root em determinadas circunstâncias. A falha, catalogada como CVE-2024-9486 com pontuação CVSS de 9.8, foi corrigida na versão 0.1.38. O erro foi descoberto e reportado por Nicolai Rybnikar, sendo amplamente reconhecido pelos mantenedores do projeto.
Segundo Joel Smith, da Red Hat, “um problema de segurança foi identificado no Kubernetes Image Builder, onde credenciais padrão são habilitadas durante o processo de construção de imagens. Além disso, imagens de máquinas virtuais criadas usando o provedor Proxmox não desabilitam essas credenciais, e os nós que utilizam essas imagens podem ser acessados por meio dessas credenciais padrão. Elas podem ser exploradas para obter acesso root.”
É importante destacar que apenas clusters Kubernetes cujos nós utilizam imagens criadas via Image Builder com o provedor Proxmox são impactados. Como medidas temporárias de mitigação, recomenda-se desabilitar a conta de builder nas VMs afetadas. Além disso, os usuários devem reconstruir as imagens usando a versão corrigida do Image Builder e implementá-la nos nós.
A correção implementada pela equipe do Kubernetes inclui a substituição das credenciais padrão por uma senha gerada aleatoriamente, válida apenas durante o processo de construção da imagem. Adicionalmente, a conta de builder é desativada ao final do processo.
A versão 0.1.38 do Image Builder também aborda um problema relacionado (CVE-2024-9594, CVSS: 6.3), que afeta credenciais padrão ao usar os provedores Nutanix, OVA, QEMU ou raw. Embora essa falha tenha uma gravidade menor, os ambientes são vulneráveis apenas se um atacante conseguir acessar a VM durante o processo de construção e modificar a imagem.
Quer amadurecer seu programa de segurança cibernética? Conheça a EcoTrust, uma plataforma CAASM (Cyber Asset Attack Surface Management) que transforma riscos cibernéticos em respostas confiáveis. Agende uma demo aqui
Este artigo foi criado com uso de inteligência artificial generativa e teve a curadoria da Equipe EcoTrust.
