„`html
Zusammenfassung
Eine Schwachstelle in Cilium ermöglicht es Benutzern mit Berechtigungen zur Erstellung von CiliumLocalRedirectPolicies, beliebige ClusterIPs zu spezifizieren. Dies führt zu einer Umgehung von Namespace-Scoping-Mechanismen und ermöglicht das Hijacking von Service-Traffic über Namespace-Grenzen hinweg. Die Anfälligkeit betrifft mehrere Versionsreihen und wird als Medium-Severity klassifiziert.
Betroffene Systeme
- Cilium vor Version 1.17.16
- Cilium 1.18.2 bis 1.18.9
- Cilium 1.19.0 bis 1.19.3
Technische Details
Die Schwachstelle liegt in der Validierung des Parameters addressMatcher in CiliumLocalRedirectPolicies. Angreifer können über diesen Parameter willkürliche ClusterIPs definieren und dadurch Traffic zu Services in beliebigen Namespaces abfangen, selbst wenn diese durch serviceMatcher geschützt sein sollten.
Ein zusätzliches Problem tritt beim Löschen fehlerhaft konfigurierter Policies auf: Der interne Service-Status von Cilium kann beschädigt werden, wodurch die Service-Translation für den betroffenen Service vollständig ausfällt. Dies kann zu Verfügbarkeitsproblemen in der Infrastruktur führen.
CVSS-Score: 6.9 (Medium) – Der Angriffsvektor ist auf benachbarte Netzwerke beschränkt, erfordert jedoch Berechtigungen zum Erstellen von Policies.
Empfohlene Massnahmen
- Sofortige Aktualisierung: Upgrade auf Cilium 1.17.16, 1.18.10 oder 1.19.4
- Zugriffskontrolle: Beschränkung der Berechtigungen zum Erstellen von CiliumLocalRedirectPolicies auf vertrauenswürdige Benutzer
- Monitoring: Überprüfung bestehender CiliumLocalRedirectPolicies auf verdächtige addressMatcher-Einträge
- Testing: Validierung der Service-Translation nach dem Update
Bewertung
Die Schwachstelle stellt eine ernsthafte Bedrohung für Multi-Tenant-Umgebungen dar, da sie Namespace-Isolation umgehen kann. Die Notwendigkeit erhöhter Berechtigungen und die Beschränkung auf benachbarte Netzwerke reduzieren die Gesamtkritikalität. Ein zeitnahes Update ist dringend empfohlen.
„`