Die auf AWS spezialisierte Security-Firma Lacework hat im Netz ungefähr 21 000 ungeschützte Management-Oberflächen zur Containerverwaltung gefunden, die hauptsächlich zu Kubernetes gehören.
Wer viele Container betreibt, möchte diese komfortabel verwalten. Kubernetes erfreut sich in diesem Zusammenhang zunehmender Beliebtheit, doch es gibt auch andere wie Portainer oder Docker Swarm. Viele dieser Plattformen bringen Weboberflächen mit, die dank der Public Cloud über öffentliche IP-Adressen erreichbar sind.
Die Firma Lacework hat rund 21169 solcher öffentlich zugänglichen Management-Oberflächen gefunden. Die Zahlen weichen in den beiden zur Verfügung gestellten Dokumenten allerdings leicht voneinander ab, an anderer Stelle ist von 22672 die Rede.
305 ungeschützte Cluster
Die Mehrheit der UIs war über Logindaten geschützt, aber 305 der Cluster standen offen, waren also nicht per Passwort geschützt oder befanden sich noch im Setup-Prozess. Unbefugte hätten also kompletten Zugriff auf die Containerverwaltung, auch eine Remote Code Execution wäre über das API und User Interface möglich. Auch 38 Server mit einem Health-Check-Dienst namens Healthz für Containerumgebungen tauchten in der Suche auf. Der Zugriff auf diese erforderte ebenfalls keinerlei Zugangsdaten.
Laut der veröffentlichten Infografik hostet Amazon 95 Prozent der gefunden Management-Oberflächen gefolgt von Google Cloud und OVH. Der Großteil der Oberflächen (76 oder 78 Prozent) gehörte zu Kubernetes, gefolgt von Docker Swarm (mit Portainer und Swarmpit, rund 20 Prozent). Auch erreichbar waren Oberflächen von Swagger API, Mesos Marathon und Open Shift. Die meisten offenen UIs wurden dabei in den USA gehostet (55 Prozent), gefolgt von Irland, Deutschland, Australien, Singapur und Großbritannien.
Auch geschützte UIs problematisch
Natürlich veröffentlicht Lacework die Erkenntnisse nicht ohne Eigennutz, hat sich das Unternehmen doch auf AWS-Security spezialisiert. Wie es in seiner Mitteilung schreibt, erhöhen aber auch mit Zugangsdaten geschützte Management-UIs die Angriffsfläche. Denkbar seien Brute-Force- und Dictionary-Angriffe, aber auch das Ausnutzen von Sicherheitslücken und Zugriffe auf Zertifikate.
Auch aus diesem Grund empfiehlt zum Beispiel Google für seine Cloud, das Kubernetes UI zu deaktivieren. Auch Lacework gibt verschiedene Tipps zum sicheren Umgang mit Containerverwaltungen. Neben einer Multi-Faktor-Authentifizierung empfehlen sie, den Zugang von UI- und API-Ports zu regulieren. SSL und valide Zertifikate helfen ebenso wie ein Bastion Host. Für Kubernetes empfiehlt die Firma, die Pods nur mit einem Read-only-Dateisystem zu betreiben, Privilege Escalation zu beschränken und eine Pod-Security-Policy zu entwerfen.
