Un nodo Kubernetes comprometido puede exponer cada identidad de carga de trabajo que se ejecute en él

Un nodo de Kubernetes se convierte en un punto de violación de identidad cuando un atacante obtiene acceso root. La investigación muestra que un proceso hostil puede hacerse pasar por otras cargas de trabajo y obtener sus credenciales, convirtiendo un punto de apoyo en un acceso más amplio a través de un nodo compartido.

Los analistas de Unit42 identificaron cómo un atacante de nivel raíz puede alterar los datos de cgroup de Linux utilizados durante las comprobaciones de la carga de trabajo. Palo Alto Networks dijo en un informe compartido con Cyber Security News (CSN) que la técnica puede hacer que un agente SPIRE local emita la identidad de una carga de trabajo coubicada a un proceso controlado por un atacante. Una identidad de carga de trabajo válida puede abrir rutas de confianza que las credenciales robadas ordinarias no pueden. Un SPIFFE de nodo de Kubernetes comprometido asigna a cada carga de trabajo un nombre, un documento de identidad verificable SPIFFE de corta duración, o SVID, y un paquete de confianza que lo valida.

Su radio de voladura puede ser grave: cada identidad de carga de trabajo en el nodo afectado debe considerarse expuesta. Comunicación de la carga de trabajo (Fuente – Unidad42) El consejo se hace eco de las lecciones del abuso por parte de los atacantes de las configuraciones erróneas de Docker Kubernetes, donde los contenedores privilegiados pueden proporcionar una ruta directa al control del host.

Consultar publicación original ↗