چگونه یک فایل YAML در Kubernetes می‌تواند کنترل یک سازمان GCP را در اختیار گیرد
بر اساس گزارش BleepingComputer و تحلیل Varonis، یک کاربر Kubernetes با مجوزهای محدود می‌تواند با سوءاستفاده از مجوزهای اعطا شده به Google Kubernetes Config Connector، از طریق مشکل 'confused deputy' به سطح کنترلی سازمانی در Google Cloud دست یابد.
مبدأ خبر: گزارش BleepingComputer با استناد به تحلیل Varonis. اطلاعات حاضر بر اساس این منبع اصلی تنظیم شده است.
خلاصه رخداد: طبق گزارش، Google Kubernetes Config Connector که برای نگاشت منابع Kubernetes به منابع Google Cloud استفاده می‌شود، اختیار انجام عملیات در سطح سازمان (organization) را دارد. از آنجا که Config Connector به نمایندگی از کلاستر عمل می‌کند، مسئله‌ای از نوع confused deputy می‌تواند پدید آید: یک کاربر Kubernetes با مجوزهای محدود می‌تواند با ارسال یک فایل YAML واحد که از قابلیت‌های Config Connector استفاده می‌کند، دسترسی‌هایی را به دست آورد که در تراز مجوزهای اولیه او نیستند و در نتیجه احتمالِ افزایش امتیاز تا سطح سازمانی وجود دارد.
تحلیل مستقل کوتاه (بر اساس اطلاعات منبع): گزارش تفصیلی حمله یا جزئیات فنی گسترده در متن ورودی نیامده است؛ بنابراین نمی‌توان مراحل دقیق بهره‌جویی یا دستورالعمل‌های بهره‌برداری را تأیید یا بازتولید کرد. با این حال، الگوی کلی — سوءاستفاده از خدمت/سرویس دارای امتیازات بالاتر (confused deputy) توسط کاربران با امتیازات کمتر— شناخته‌شده و پرخطر است. در محیط‌هایی که از Config Connector استفاده می‌شود، بی‌توجهی به کنترل‌هایی مانند مدیریت دقیق نقش‌ها، محدودسازی اینکه چه کسانی می‌توانند CRD/منابع مرتبط را ایجاد یا تغییر دهند و نظارت بر عملیات سرویس‌ها می‌تواند موقعیت را به نفع مهاجم تسهیل کند.
توصیه‌های احتیاطی (عمومی و مبتنی بر الگوی گزارش‌شده):
- دسترسی‌ها را بر اساس اصل کمترین امتیاز (least privilege) محدود کنید؛ نقش‌هایی که Config Connector دریافت می‌کند را بازبینی کنید.
- کنترل کنید چه کاربران یا سرویس‌اکانت‌هایی اجازه اعمال CRDها یا منابع مرتبط با Config Connector را دارند.
- لاگ، تغییرات منابع و عمل‌های سرویس‌اکانت‌های مرتبط را برای رفتارهای غیرمعمول پایش کنید.
- جداسازی محیط اجرایی و محدودسازی دامنه نقش‌ها در سطح پروژه/سازمان را مدنظر قرار دهید.
تذکر: جزئیات فنی دقیق، نام CVE یا شماره‌های نسخه در ورودی داده‌شده وجود نداشت؛ از این‌رو در متن حاضر جزئیات فنی بیشتر یا فرضیات ناموثق آورده نشده‌اند. برای بررسی فنی و اقدامات اصلاحی دقیق‌تر، مطالعه مستقیم گزارش Varonis و متن کامل منبع BleepingComputer توصیه می‌شود.