Xác thực chứng chỉ X.509 không đúng phép trong MongoDB Inc. MongoDB Enterprise Kubernetes Operator có thể cho phép truy cập MongoDB trái phép

Các chứng chỉ X.509 được MongoDB Enterprise Kubernetes Operator tạo ra có thể cho phép kẻ tấn công có quyền truy cập vào cụm Kubernetes truy cập không đúng phép vào các instance MongoDB. Khách hàng không sử dụng xác thực X.509 và những khách hàng không dùng Operator để tạo chứng chỉ X.509 không bị ảnh hưởng. Vấn đề này ảnh hưởng đến MongoDB Enterprise Kubernetes Operator phiên bản 1.0, MongoDB Enterprise Kubernetes Operator phiên bản 1.1, MongoDB Enterprise Kubernetes Operator phiên bản 1.2 trước 1.2.4, MongoDB Enterprise Kubernetes Operator phiên bản 1.3 trước 1.3.1, 1.2, 1.4 trước 1.4.4.

Phạm vi ảnh hưởng được giới hạn ở các triển khai MongoDB Enterprise Kubernetes Operator sử dụng xác thực X.509 và chứng chỉ do Operator tạo.

• MongoDB Enterprise Kubernetes Operator 1.0: bị ảnh hưởng.
• MongoDB Enterprise Kubernetes Operator 1.1: bị ảnh hưởng.
• Nhánh 1.2.0 đến 1.2.4: bị ảnh hưởng. Bản phát hành 1.2.5 được nguồn phát hành của MongoDB xác định là đã sửa.
• Nhánh 1.3.0 đến 1.3.1: bị ảnh hưởng. Bằng chứng đã kiểm tra chưa xác định bản sửa cụ thể cho nhánh 1.3.
• Nhánh 1.4.0 đến 1.4.4: bị ảnh hưởng. Bản phát hành 1.4.5 được nguồn phát hành của MongoDB xác định là đã sửa.
• Các khách hàng không sử dụng xác thực X.509 hoặc không dùng Operator để tạo chứng chỉ X.509 được nêu là không bị ảnh hưởng.

Thành phần bị ảnh hưởng là cơ chế tạo chứng chỉ X.509 của MongoDB Enterprise Kubernetes Operator. Chứng chỉ được tạo có thể không xác thực đúng mối quan hệ tin cậy, cho phép chứng chỉ bị sử dụng để truy cập không đúng phép vào các instance MongoDB; vấn đề này thuộc CWE-295, Improper Certificate Validation. Điều kiện khai thác là kẻ tấn công đã có quyền truy cập vào cụm Kubernetes, hệ thống sử dụng xác thực X.509 và chứng chỉ được Operator tạo ra. Bản ghi không cho biết trường chứng chỉ, chuỗi tin cậy hoặc quyết định xác thực cụ thể nào bị xử lý sai, vì vậy không thể xác định chính xác chi tiết triển khai từ bằng chứng hiện có. Các đánh giá khả năng tiếp cận khác nhau giữa network và adjacent network, nên đường tiếp cận thực tế phụ thuộc vào topology và quyền truy cập của cụm Kubernetes.

Kẻ tấn công phải có quyền truy cập vào cụm Kubernetes và phải nhắm tới một triển khai sử dụng xác thực X.509 cùng chứng chỉ do MongoDB Enterprise Kubernetes Operator tạo. Dữ liệu được cung cấp cho thấy yêu cầu quyền thấp và không cần tương tác của người dùng, nhưng không mô tả chi tiết quyền Kubernetes tối thiểu cần có. Các nguồn đánh giá khác nhau về việc đường tấn công là network hay adjacent network, vì vậy khả năng tiếp cận cụ thể phụ thuộc vào cấu hình triển khai. Bằng chứng được cung cấp không xác lập việc khai thác đang diễn ra hoặc exploit công khai; trạng thái khai thác thực tế vẫn chưa được xác định.

Kết quả kỹ thuật được xác nhận là chứng chỉ X.509 do Operator tạo có thể dẫn đến quyền truy cập không đúng phép vào các instance MongoDB. Tác động đến tính bí mật của dữ liệu MongoDB được hỗ trợ bởi bản ghi. Đánh giá của CNA cho thấy khả năng ảnh hưởng đến tính toàn vẹn, nhưng đánh giá khác không xác nhận tác động này, nên không nên mặc định rằng kẻ tấn công luôn có thể sửa dữ liệu. Phạm vi được đánh giá là không thay đổi và không có tác động sẵn sàng dịch vụ được xác lập. Hậu quả tổ chức phụ thuộc vào dữ liệu mà instance chứa, quyền mà chứng chỉ cấp và khả năng cô lập cụm Kubernetes.

Lỗi có thể làm lộ dữ liệu trong các instance MongoDB mà chứng chỉ bị ảnh hưởng cho phép truy cập. Đánh giá của CNA cũng xem việc thay đổi dữ liệu là khả năng có thể xảy ra, trong khi một đánh giá khác chỉ xác nhận tác động đến tính bí mật, vì vậy rủi ro đối với tính toàn vẹn cần được xem xét theo quyền thực tế của chứng chỉ và cấu hình MongoDB. Không có tác động sẵn sàng dịch vụ nào được xác lập trong bản ghi. Tác động vận hành có thể gồm phải điều tra quyền truy cập, xác minh dữ liệu và thay thế thành phần Operator hoặc chứng chỉ theo hướng dẫn được hỗ trợ.

1. Xác định phiên bản MongoDB Enterprise Kubernetes Operator, việc bật xác thực X.509 và nguồn tạo các chứng chỉ đang được dùng.
2. Với nhánh 1.2, nâng cấp lên bản 1.2.5, là bản được nguồn phát hành của MongoDB xác định đã sửa lỗi.
3. Với nhánh 1.4, nâng cấp lên bản 1.4.5, là bản được nguồn phát hành của MongoDB xác định đã sửa lỗi.
4. Đối với các bản 1.0, 1.1 và nhánh 1.3, bằng chứng đã kiểm tra không xác định bản sửa cụ thể. Cần lấy đường nâng cấp được MongoDB hỗ trợ trước khi triển khai thay đổi.
5. Nếu triển khai không sử dụng xác thực X.509 hoặc không dùng Operator để tạo chứng chỉ, ghi nhận điều kiện loại trừ này trong đánh giá phơi nhiễm nhưng vẫn kiểm tra để bảo đảm cấu hình không thay đổi ngoài dự kiến.
6. Bản ghi và nguồn đã kiểm tra không cung cấp biện pháp giảm nhẹ độc lập ngoài việc xác định đúng phạm vi và sử dụng bản phát hành đã được xác nhận sửa lỗi.

1. Kiểm kê mọi triển khai MongoDB Enterprise Kubernetes Operator và đối chiếu phiên bản đang chạy với các nhánh bị ảnh hưởng hoặc đã được sửa trong phần affected_summary.
2. Xác định MongoDB có bật xác thực X.509 hay không.
3. Xác định chứng chỉ X.509 đang được sử dụng có được MongoDB Enterprise Kubernetes Operator tạo ra hay không.
4. Kiểm tra quyền Kubernetes của các principal có thể truy cập cụm, đặc biệt các quyền cho phép đọc, sử dụng hoặc thay đổi Secret và tài nguyên liên quan đến MongoDB.
5. Có thể rà soát Kubernetes audit log và MongoDB audit hoặc authentication log để tìm các phiên X.509 hoặc truy cập bất thường. Đây là biện pháp giám sát phòng ngừa, không phải chỉ báo xâm nhập đã được xác nhận.
6. Không thấy sự kiện đáng ngờ không chứng minh hệ thống an toàn; việc xác định phiên bản và cấu hình xác thực mới là cơ sở chính để đánh giá phơi nhiễm.