Kubernetes - Windows nodes - Insufficient input sanitization leads to privilege escalation
A security issue was discovered in Kubernetes where a user that can create pods on Windows nodes may be able to escalate to admin privileges on those nodes. Kubernetes clusters are only affected if they include Windows nodes.
- Yayın
- 31 Eki 2023
- Güncelleme
- 17 Haz 2026
- EPSS
- %4,0 · 90. yüzdelik
- CWE
- CWE-20
Takip etmek için giriş yap · Takip ettiğin kayıt KEV’e girer, istismarı çıkar ya da güncellenirse bildirim alırsın.
Rapor araçları
Aksiyon skoru
36
İzleyin
Şimdilik düşük öncelik.
- CVSS
- 35 / 40 · 8.8 / 10
- CISA KEV
- 0 / 30 · Listede değil
- EPSS
- 1 / 30 · %4,0
CISA SSVC kararı
- Sömürü
- yok
- Otomatikleştirilebilir
- hayır
- Teknik etki
- tam
Vulnrichment: CISA'nın karar ağacı girdileri.
CNA ile NVD puanı
- NVD
- 8,8
- CNA · kubernetes
- 8,8
- uyumlu
Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.
Etkilenen sistemler
| Üretici | Ürün | CPE |
|---|---|---|
| kubernetes | kubernetes | cpe:2.3:a:kubernetes:kubernetes |
| microsoft | windows | cpe:2.3:o:microsoft:windows |
kubernetes mu kullanıyorsun? Stack’ine ekle, bunun gibi CVE’lerde ilk sen haberdar ol. (Kubernetes)
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.
- kubernetes kubernetes1.24.17 öncesi
- kubernetes kubernetes1.25.0 ve sonrası · 1.25.13 öncesi
- kubernetes kubernetes1.26.0 ve sonrası · 1.26.8 öncesi
- kubernetes kubernetes1.27.0 ve sonrası · 1.27.5 öncesi
- kubernetes kubernetes1.28.0 ve sonrası · 1.28.1 öncesi
Üreticinin bildirdiği sürümler
Kaydı açan otorite (kubernetes) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
Kubernetes kubelet
- v1.28.1, v1.27.5, v1.26.8, v1.25.13, v1.24.17etkilenmez
- v1.28.0etkilenir
- v1.27.0 ve sonrası · v1.27.4 dahil öncesietkilenir · semver
- v1.26.0 ve sonrası · v1.26.7 dahil öncesietkilenir · semver
- v1.25.0 ve sonrası · v1.25.12 dahil öncesietkilenir · semver
- v1.24.16 dahil öncesietkilenir · semver
Paket düzeyi etkilenme
OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.
| Ekosistem | Paket | Etkilenen aralık | Düzeltme |
|---|---|---|---|
| Debian:12 | kubernetes | 1.20.5+really1.20.2-1 öncesi | 1.20.5+really1.20.2-1 |
| Go | k8s.io/kubernetes | 1.25.0 itibarıyla · 1.25.13 öncesi | 1.25.13 |
| Go | k8s.io/kubernetes | 1.26.0 itibarıyla · 1.26.8 öncesi | 1.26.8 |
| Go | k8s.io/kubernetes | 1.27.0 itibarıyla · 1.27.5 öncesi | 1.27.5 |
| Go | k8s.io/kubernetes | 1.28.0 itibarıyla · 1.28.1 öncesi | 1.28.1 |
| Go | k8s.io/kubernetes | 1.24.17 öncesi | 1.24.17 |
| Go | k8s.io/mount-utils | 0.25.0 itibarıyla · 0.25.13 öncesi | 0.25.13 |
| Go | k8s.io/mount-utils | 0.26.0 itibarıyla · 0.26.8 öncesi | 0.26.8 |
| Go | k8s.io/mount-utils | 0.27.0 itibarıyla · 0.27.5 öncesi | 0.27.5 |
| Go | k8s.io/mount-utils | 0.28.0 itibarıyla · 0.28.1 öncesi | 0.28.1 |
| Go | k8s.io/mount-utils | 0.24.17 öncesi | 0.24.17 |
| openSUSE:Tumbleweed | govulncheck-vulndb | 0.0.20241213T205935-1.1 öncesi | 0.0.20241213T205935-1.1 |
Aynı üründe
kubernetes: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2018-1002105In all Kubernetes versions prior to v1.10.11, v1.11.5, and v1.12.3, incorrect handling of error responses to proxied upgrade requests in the65Bu hafta
- CVE-2019-11248Kubernetes kubelet exposes /debug/pprof info on healthz port55Planlayın
- CVE-2017-1002101In Kubernetes versions 1.3.x, 1.4.x, 1.5.x, 1.6.x and prior to versions 1.7.14, 1.8.9 and 1.9.4 containers using subpath volume mounts with 42Planlayın
- CVE-2018-1002101In Kubernetes versions 1.9.0-1.9.9, 1.10.0-1.10.5, and 1.11.0-1.11.1, user input was handled insecurely while setting up volume mounts on Wi40Planlayın
- CVE-2017-1000056Kubernetes version 1.5.0-1.5.4 is vulnerable to a privilege escalation in the PodSecurityPolicy admission plugin resulting in the ability to40Planlayın
- CVE-2016-1906Openshift allows remote attackers to gain privileges by updating a build configuration that was created with an allowed type to a type that 40Planlayın
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
| Ürün / paket | Düzeltilmiş sürüm | Kaynak |
|---|---|---|
| debian:kubernetes | 1.20.5+really1.20.2-1 · Debian:12 | Paket deposu (OSV) |
| Go:k8s.io/kubernetes | 1.24.17 | Paket deposu (OSV) |
| Go:k8s.io/kubernetes | 1.25.13 | Paket deposu (OSV) |
| Go:k8s.io/kubernetes | 1.26.8 | Paket deposu (OSV) |
| Go:k8s.io/kubernetes | 1.27.5 | Paket deposu (OSV) |
| Go:k8s.io/kubernetes | 1.28.1 | Paket deposu (OSV) |
| Go:k8s.io/mount-utils | 0.24.17 | Paket deposu (OSV) |
| Go:k8s.io/mount-utils | 0.25.13 | Paket deposu (OSV) |
| Go:k8s.io/mount-utils | 0.26.8 | Paket deposu (OSV) |
| Go:k8s.io/mount-utils | 0.27.5 | Paket deposu (OSV) |
| Go:k8s.io/mount-utils | 0.28.1 | Paket deposu (OSV) |
| opensuse:govulncheck-vulndb | 0.0.20241213T205935-1.1 · openSUSE:Tumbleweed | Paket deposu (OSV) |
İstismar durumu
Bilinen kamuya açık istismar yok
Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
Yayın dışında tarihli olay yok.
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Referanslarda commit ya da PR bağlantısı yok.
Kredi
Tüm araştırmacılarCNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıkla, aynı araştırmacının diğer kayıtlarını gör.
- James Sturtevantbulan
- Mark Rossettibulan
Varyant adayları
Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.
- CVE-2023-36760 gün araylaKubernetes - Windows nodes - Insufficient input sanitization leads to privilege escalation39İzleyin
- CVE-2023-552814 gün araylaKubernetes - Windows nodes - Insufficient input sanitization in in-tree storage plugin leads to privilege escalation36İzleyin
- CVE-2022-3294244 gün araylaNode address isn't always verified when proxying35İzleyin
- CVE-2023-2728120 gün araylaBypassing enforce mountable secrets policy imposed by the ServiceAccount admission plugin27İzleyin
- CVE-2023-2727120 gün araylaBypassing policies imposed by the ImagePolicyWebhook admission plugin26İzleyin
- CVE-2024-3177174 gün araylaBypassing mountable secrets policy imposed by the ServiceAccount admission plugin11İzleyin
Zincir adayları
Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.
—
Bug bounty kapsamı
Ürünün üreticisi herkese açık bir programda görünüyor. Eşleşme ad üzerinden yapıldı; kapsam metnini programda doğrulayın.
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Düşük yetkili bir hesap yeterli.
- Kullanıcının bir şey yapması gerekmez.
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- yüksek · veriler okunabilir
- Bütünlük
- yüksek · veri ya da yapılandırma değiştirilebilir
- Erişilebilirlik
- yüksek · hizmet durdurulabilir
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Düşük
- Gereken yetki
- Düşük
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişmez
- Gizlilik etkisi
- Yüksek
- Bütünlük etkisi
- Yüksek
- Erişilebilirlik etkisi
- Yüksek
Zayıflık sınıfı (CWE)
CWE-20 · Improper Input ValidationCVSS vektörü
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
nvd-primary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Saldırı desenleri (CAPEC)
- Buffer Overflow via Environment VariablesCAPEC-10olasılık: High · High
- Server Side Include (SSI) InjectionCAPEC-101olasılık: High · High
- Cross Zone ScriptingCAPEC-104olasılık: Medium · High
- Command Line Execution through SQL InjectionCAPEC-108olasılık: Low · Very High
- Object Relational Mapping InjectionCAPEC-109olasılık: Low · High
- SQL Injection through SOAP Parameter TamperingCAPEC-110olasılık: High · Very High
- Double EncodingCAPEC-120olasılık: Low · Medium
- Subverting Environment Variable ValuesCAPEC-13olasılık: High · Very High
ATT&CK teknikleri
- Obfuscated Files or InformationT1027
- Masquerading: Invalid Code SignatureT1036.001
- Steal Web Session CookieT1539
- Subvert Trust Controls: Code SigningT1553.002
- Impair Defenses:Impair Command History LoggingT1562.003
- Hijack Execution Flow:Dynamic Linker HijackingT1574.006
- Hijack Execution Flow:Path Interception by PATH Environment VariableT1574.007
Noroxi analizi
Bu kayıt için henüz Noroxi analizi yok
385 binden fazla zafiyetin tamamına elle analiz yazmıyoruz; bu dürüst olmazdı. Öne çıkan ve sahada etkisi olan zafiyetler için mekanizma, tespit ve kapatma adımlarını ekibimiz yazıyor.
Bu ürünü kullanıyoruz, yardım isteyinDeğişiklik günlüğü
- Düzeltme✗ → ✓
Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →
Referanslar
- groups.google.com/g/kubernetes-security-announce/c/JrX4bb7d83E
- security.netapp.com/advisory/ntap-20231221-0002/
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.