不久前，研究人員在 Kubernetes 中發現的三個可被利用并相互關聯的高危安全漏洞，這些漏洞可在集群內的 Windows 端點上以提升權限的方式實現遠程代碼執行。

這些漏洞被標記為 CVE-2023-3676、CVE-2023-3893 和 CVE-2023-3955，CVSS 評分為 8.8，影響所有帶有 Windows 節點的 Kubernetes 環境。繼 Akamai 于 2023 年 7 月 13 日披露后，這些漏洞的修復程序于 2023 年 8 月 23 日發布。

Akamai 安全研究員 Tomer Peled表示：該漏洞允許在 Kubernetes 集群內的所有 Windows 端點上以 SYSTEM 權限遠程執行代碼。要利用這個漏洞，攻擊者需要在集群上應用惡意YAML文件。

亞馬遜網絡服務（AWS）、谷歌云（Google Cloud）和微軟Azure都發布了針對這些漏洞的公告，這些漏洞影響到以下版本的Kubelet：

• kubelet < v1.28.1
• kubelet < v1.27.5
• kubelet < v1.26.8
• kubelet < v1.25.13，以及
• kubelet < v1.24.17

簡而言之，CVE-2023-3676 允許擁有 "應用 "權限（可與 Kubernetes API 交互）的攻擊者注入任意代碼，這些代碼將在具有 SYSTEM 權限的遠程 Windows 機器上執行。

Peled 還指出，CVE-2023-3676要求的權限很低，因此為攻擊者設置的門檻也很低。他們需要的只是訪問節點和應用權限。

該漏洞與 CVE-2023-3955 一樣，都是由于缺乏輸入清理而導致的，從而使特制的路徑字符串被解析為 PowerShell 命令的參數，從而有效地執行命令。

另一方面，CVE-2023-3893 與容器存儲接口（CSI）代理中的權限升級案例有關，它允許惡意行為者獲得節點上的管理員訪問權限。

具體來說，在處理 Pod 定義時，軟件未能充分驗證或清理用戶輸入。這一疏忽使得惡意用戶能夠制作帶有環境變量和主機路徑的 pod，這些環境變量和主機路徑在處理時會導致權限升級等后果。

參考鏈接：https://thehackernews.com/2023/09/alert-new-kubernetes-vulnerabilities.html