Tenable ブログ
ブログ通知を受信する
Kubernetesの権限昇格の脆弱性が公開（CVE-2018-1002105）
コンテナ管理に用いるオープンソースのフレームワークKubernetesの深刻な脆弱性 (CVE-2018-1002105) に対処するパッチはすでにリリースされています。
背景
12月3日、人気のあるコンテナ管理に用いるオープンソースのフレームワーク、Kubernetesの特権昇格の脆弱性に関する詳細が、Kubernetesチームによって公開されました 。Kubernetesは、コンテナ化されたアプリケーションの導入、スケーリング、および管理を自動化するために使用されます。
脆弱性の詳細
この脆弱性、 CVE-2018-1002105は、KubernetesのAPIサーバーのプロキシ処理機能に存在します。この脆弱性を悪用すると、APIサーバーへの接続が許可されている場合、Kubernetes APIサーバーを介してバックエンドサーバーに任意の要求を行うことができます。Kubernetesチームによると、「すべてのユーザー（認証済みおよび非認証済み）は、デフォルトの構成でこの権限昇格を許可するAPI呼び出しを実行できる」とのことです。
さらに、この脆弱性により、kubelet API経由でKubernetes pod APIリクエスト（exec、attach、portforward）の権限昇格が可能になります。
Kubernetesチームによると、「確立された接続を介して不正な要求が行われる」ため、要求は監査ログまたはサーバーログには表示されません。ただし、kubeletまたは集約されたAPIサーバーログに表示される要求は、Kubernetes APIサーバー経由で正しく承認され、プロキシされた要求と区別できないため、この脆弱性の使用を企業環境で検出することは困難です。
緊急措置が必要
システム管理者、ユーザー、またはKubernetesを導入しているユーザーは、すぐにパッチが適用されたバージョンにアップグレードする必要があります。次のKubernetesのバージョンがこの脆弱性の影響を受けています。
- Kubernetes v1.0.x-1.9.x
- Kubernetes v1.10.0-1.10.10
- Kubernetes v1.11.0-1.11.4
- Kubernetes v1.12.0-1.12.2
この脆弱性はKubernetesの次のバージョンで対処されています。
さらに、Red HatのOpenShift Container Platformのユーザーは、できるだけ早くパッチを適用したバージョンにアップグレードする必要があります。
最後に、DebianおよびSUSEディストリビューションのセキュリティトラッカーページで、これらのプラットフォームでのKubernetesのパッチのリリースに関する最新情報をご確認ください。
影響を受けているシステムの特定
この脆弱性を特定するための Nessus プラグイン一覧は、リリースされる度にこちらに表示されます。
詳細情報
- Kubernetes：kube-apiserverのプロキシリクエスト処理がTCP接続を脆弱にする可能性がある
- Red Hat： CVE-2018-1002105の概要
- Debianセキュリティトラッカー：CVE-2018-1002105
- SUSE セキュリティトラッカー：CVE-2018-1002105
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.io の詳細情報をご覧ください。今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
Cybersecurity Snapshot: Apply Zero Trust to Critical Infrastructure’s OT/ICS, CSA Advises, as Five Eyes Spotlight Tech Startups’ Security
November 1, 2024Should critical infrastructure orgs boost OT/ICS systems’ security with zero trust? Absolutely, the CSA says. Meanwhile, the Five Eyes countries offer cyber advice to tech startups. Plus, a survey finds “shadow AI” weakening data governance. And get the latest on MFA methods, CISO trends and Uncle Sam’s AI strategy.
Cybersecurity Snapshot: New Guides Offer Best Practices for Preventing Shadow AI and for Deploying Secure Software Updates
October 25, 2024Looking for help with shadow AI? Want to boost your software updates’ safety? New publications offer valuable tips. Plus, learn why GenAI and data security have become top drivers of cyber strategies. And get the latest on the top “no-nos” for software security; the EU’s new cyber law; and CISOs’ communications with boards.
How To Protect Your Cloud Environments and Prevent Data Breaches
October 24, 2024As organizations create and store more data in the cloud, security teams must ensure the data is protected from cyberthreats. Learn more about what causes data breaches and about the best practices you can adopt to secure data stored in the cloud.
Securing Financial Data in the Cloud: How Tenable Can Help
November 4, 2024Preventing data loss, complying with regulations, automating workflows and managing access are four key challenges facing financial institutions. Learn how Tenable can help.
Cybersecurity Snapshot: Apply Zero Trust to Critical Infrastructure’s OT/ICS, CSA Advises, as Five Eyes Spotlight Tech Startups’ Security
November 1, 2024Should critical infrastructure orgs boost OT/ICS systems’ security with zero trust? Absolutely, the CSA says. Meanwhile, the Five Eyes countries offer cyber advice to tech startups. Plus, a survey finds “shadow AI” weakening data governance. And get the latest on MFA methods, CISO trends and Uncle Sam’s AI strategy.
FY 2024 State and Local Cybersecurity Grant Program Adds CISA KEV as a Performance Measure
October 31, 2024The CISA Known Exploited Vulnerabilities (KEV) catalog and enhanced logging guidelines are among the new measurement tools added for the 2024 State and Local Cybersecurity Grant Program.
- Cloud
- Container security
- Threat Intelligence
- Vulnerability Management