In Kubernetes wurde ein Sicherheitsproblem entdeckt, bei dem ein unbefugter Benutzer in der Lage sein kann, per SSH auf einen VM-Knoten zuzugreifen, der ein mit dem Kubernetes Image Builder-Projekt erstelltes VM-Image verwendet.
Das Problem besteht laut dem Advisory des Projekts unter anderem darin, dass mit Kubernetes Image Builder erstellte VM-Images Standard-Anmeldeinformationen verwenden. Damit könnte ein Angreifer als Root auf die Systeme zugreifen und sie komplett übernehmen. Das Problem ist erkannt und im Image Builder behoben. Bestehende Images sind aber weiterhin anfällig und müssen mit dem gepatchten Image Builder neu erstellt werden.
Für Images, die mit Proxmox erstellt wurden, gilt das Problem als kritisch und hat trägt die CVE-2024-9486. Images, die mit dem Nutanix, OVA, QEMU oder Raw erstellt wurden, lautet die Risikoeinschätzung auf mittelschwer (CVE-2024-9594).
Anfällig sind Cluster, die virtuelle Maschinen-Images verwenden, die mit Kubernetes Image Builder Version v0.1.37 oder früher erstellt wurden. VMs, die mit Proxmox erstellte Images verwenden, sind ebenfalls betroffen.
Für VMs, die mit Nutanix-, OVA-, QEMU- oder Raw-Anbietern erstellte Images verwenden sieht die Lage anders aus. Sie sind nur während des Erstellungsprozesses anfällig und sind nur dann betroffen, wenn ein Angreifer in der Lage war, die VM zu erreichen, in der die Image-Erstellung stattfand, und die Schwachstelle zum Zeitpunkt der Image-Erstellung ausnutzen konnte. VMs, die mit allen anderen Tools erstellte Images verwenden, sind nicht betroffen, teilt Kubernetes mit.
