CRI-O’da Ortaya Çıkan Güvenlik Açığı Openshift Kullanıcılarını Etkileyebilir
21 Mar 2022
Crowdstrike araştırmacıları, CRI-O Container Engine üzerinde “cr8escape” olarak adlandırılan bir açığın kullanıldığını tespit etti. Açığın CVE değerlendirmesi 8.8 / 10 (High) olarak belirtildi ve CRI-O kullanılan yazılım ve platformları etkileyeceği açıklandı.
Bu açığı kullanan saldırganların Kubernetes container dışına çıkıp, root erişimi kazandıktan sonra clusterda istediği yere erişebileceği belirtiliyor.
Direkt etkilenen yazılım versiyonu:
Dolaylı olarak etkilenen yazılımlar ve platformlar:
- OpenShift 4+
- Oracle Container Engine for Kubernetes
Çözüm:
Kubernetes düzeyinde;
- İdeal çözüm olarak sysctl komutlarında “+ =” değerleri kullanılarak podların bloklanması.
- İkincil çözüm olarak tüm sysctls’i bloklamak için PodSecurityPolicy forbiddenSysctls alanın kullanılması.
CRI-O düzeyinde;
- CRI-O’nun güncel sürüme yükseltilmesi. (Patched version 1.23.2.)
- CRI-O config dosyasında pinns_path e -s parametresinin eklenebilir. Böylece podların kernel parametrelerine bağlı ihlali engellenebilir.
- CRI-O sürüm 1.18 veya daha eski bir sürüme geçilmesi (pek çok durumda önerilmez).
