„`html
Zusammenfassung
Eine Sicherheitslücke in Red Hat Advanced Cluster Security for Kubernetes (RHACS) ermöglicht authentifizierten Benutzern, Denial-of-Service-Angriffe auf die Management-Ebene auszuführen. Die Schwachstelle liegt in unzureichender Validierung der GraphQL-Query-Tiefe auf der authentifizierten API.
Betroffene Systeme
Die Schwachstelle betrifft Red Hat Advanced Cluster Security for Kubernetes (RHACS) in verschiedenen Versionen. Besonders kritisch ist die Central-Komponente, die die GraphQL API bereitstellt. Administratoren sollten die Versionskompatibilität mit ihren installierten RHACS-Instanzen überprüfen.
Technische Details
Die Vulnerabilität basiert auf fehlender Implementierung von Limits für die Verschachtelungstiefe von GraphQL-Queries. Ein authentifizierter Angreifer mit gültigem API-Token kann rekursiv verschachtelte Queries konstruieren, die exponentielles Ressourcenwachstum auslösen. Dies führt zu:
- Excessive CPU-Auslastung auf der Central-Komponente
- Speichersättigung durch komplexe Query-Auswertung
- Timeouts und Service-Ausfälle für legitime Anfragen
- Degradation der gesamten Kubernetes-Sicherheitsverwaltung
Der Angriffsvektor ist netzwerkbasiert und erfordert Authentifizierung, reduziert jedoch die Exploitierbarkeit nicht erheblich bei kompromittierten oder böswilligen internen Tokens.
Empfohlene Massnahmen
- Sofortmassnahmen: API-Token-Zugriff auf erforderliche Benutzer beschränken und regelmäßig rotieren
- Rate-Limiting: Implementierung von Query-Komplexitätsgrenzen auf Proxy-Ebene (WAF, API-Gateway)
- Monitoring: GraphQL-Query-Muster und Ressourcennutzung ĂĽberwachen
- Patches: Sicherheits-Updates von Red Hat zeitnah einspielen
Bewertung
CVSS 7.7 (High): Die Bewertung reflektiert erhebliche Verfügbarkeitsauswirkungen trotz erforderlicher Authentifizierung. Organisationen mit Kubernetes-Sicherheit sollten diese Schwachstelle als prioritär behandeln und sofortige Mitigationsmassnahmen implementieren.
„`