Path traversal trong Kubernetes kubectl cp cho phép ghi tệp cục bộ tùy ý trên Windows

Một lỗ hổng path traversal đã được phát hiện trong lệnh kubectl cp của client kubectl thuộc Kubernetes trên Windows. Khi sao chép tệp từ một container, kubectl chạy tar bên trong container để tạo một tar archive, truyền archive đó qua mạng rồi giải nén trên máy cục bộ. Nếu binary tar trong container là độc hại, nó có thể thực thi mã tùy ý và phát ra đầu ra bất thường, cho phép attacker kiểm soát nội dung container ghi tệp vào các đường dẫn tùy ý trên máy cục bộ của người dùng khi kubectl cp được gọi, chỉ bị giới hạn bởi quyền hệ thống của người dùng cục bộ. Vấn đề này chỉ ảnh hưởng đến các client kubectl chạy trên Windows.

Lỗ hổng chỉ được xác nhận đối với Kubernetes kubectl client chạy trên Windows và sử dụng kubectl cp để sao chép tệp từ container.

• Nhánh kubectl v1.34.0 đến v1.34.11: bị ảnh hưởng; bản sửa được xác định là v1.34.12.
• Nhánh kubectl v1.35.0 đến v1.35.8: bị ảnh hưởng; bản sửa được xác định là v1.35.9.
• Nhánh kubectl v1.36.0 đến v1.36.4: bị ảnh hưởng; bản sửa được xác định là v1.36.5.

Bản ghi chuẩn hóa đặt default_status là unaffected, nhưng advisory chỉ liệt kê rõ các nhánh bị ảnh hưởng ở trên. Không nên suy luận trạng thái của các nhánh không được liệt kê nếu chưa có xác nhận riêng.

Lệnh kubectl cp sử dụng tar bên trong container để tạo archive, truyền archive qua mạng rồi giải nén trên máy cục bộ. Nếu attacker kiểm soát binary tar hoặc nội dung container, dữ liệu đầu ra bất thường có thể khiến quá trình xử lý archive trên Windows ghi tệp ra ngoài đường dẫn dự kiến. Đây là lỗi CWE-22, trong đó kết quả là attacker có thể ghi vào các đường dẫn tùy ý mà tài khoản người dùng cục bộ có quyền ghi. Điều kiện khai thác gồm client kubectl chạy trên Windows, người dùng thực hiện thao tác sao chép từ container, và attacker kiểm soát nội dung container. Bằng chứng hiện có không nêu chi tiết chính xác về hàm giải nén, cơ chế chuẩn hóa đường dẫn hoặc kiểm tra xác thực đã bị thiếu.

Lỗ hổng có thể bị tác động qua thao tác kubectl cp từ container tới máy người dùng, không phải chỉ bằng việc container tồn tại. Đánh giá được cung cấp mô tả attack vector là adjacent, attack complexity là low, privileges required là high và user interaction là required. Người dùng phải chạy client kubectl trên Windows và thực hiện sao chép từ container mà họ không hoàn toàn tin cậy; attacker phải kiểm soát nội dung container hoặc binary tar được sử dụng trong đó. Bản ghi chuẩn hóa không ghi nhận public exploit và không xác lập trạng thái known exploitation. Điều này không chứng minh rằng việc khai thác là không thể xảy ra.

• Kết quả kỹ thuật chính là path traversal dẫn tới ghi tệp tùy ý trên máy cục bộ, bị giới hạn bởi quyền của tài khoản người dùng Windows đang chạy kubectl.
• Đánh giá được cung cấp ghi nhận confidentiality impact là low, integrity impact là high và availability impact là none.
• Lỗi tạo ra tác động vượt khỏi container tới máy của người dùng, vì archive do container cung cấp được xử lý và giải nén cục bộ.
• Tác động tổ chức có thể gồm sửa đổi dữ liệu hoặc tệp phục vụ vận hành trên workstation, nhưng mức độ thực tế phụ thuộc vào quyền của tài khoản và các đường dẫn mà tài khoản đó có thể ghi.
• Bằng chứng hiện có không xác nhận khả năng đọc mọi tệp, nâng quyền hệ thống hoặc gây gián đoạn dịch vụ.

• Tệp trên máy Windows của người dùng có thể bị tạo hoặc ghi đè tại các vị trí mà tài khoản đó có quyền truy cập.
• Việc sửa đổi tệp cục bộ có thể ảnh hưởng đến dữ liệu, cấu hình hoặc workflow của người dùng, tùy thuộc vào vị trí tệp và quyền của tài khoản.
• Rủi ro tập trung vào các nhóm vận hành dùng Windows để lấy tệp từ container không đáng tin cậy bằng kubectl cp.
• Bản ghi hiện có không xác nhận một sự cố, nạn nhân hoặc kịch bản xâm nhập cụ thể, vì vậy không nên suy luận rằng đã xảy ra compromise trong môi trường cụ thể.

1. Nâng cấp client kubectl trên Windows lên bản sửa tương ứng với nhánh đang sử dụng: v1.34.12 cho nhánh v1.34, v1.35.9 cho nhánh v1.35 hoặc v1.36.5 cho nhánh v1.36.
2. Trước khi nâng cấp, chỉ dùng kubectl cp để sao chép từ các container đáng tin cậy, hoặc tránh dùng kubectl cp từ container không đáng tin cậy trên Windows.
3. Kiểm kê client theo từng nhánh phát hành; bản sửa của một nhánh không tự chứng minh rằng các nhánh khác đã được sửa.
4. Nếu phát hiện dấu hiệu tệp cục bộ bị ghi bất thường sau thao tác sao chép, bảo toàn audit telemetry, thông tin phiên chạy và các tệp liên quan để phục vụ điều tra và báo cáo cho Kubernetes.

• Kiểm kê các máy Windows có cài kubectl và kiểm tra phiên bản client bằng lệnh kubectl version --client.
• Xác định các quy trình hoặc người dùng thường chạy kubectl cp để sao chép tệp từ container, đặc biệt khi nguồn container do bên khác kiểm soát hoặc không hoàn toàn đáng tin cậy.
• Rà soát audit telemetry và file-integrity telemetry trên máy Windows để tìm các tệp mới hoặc bị thay đổi trong khoảng thời gian người dùng thực hiện thao tác sao chép đáng ngờ.
• Đối chiếu các thay đổi tệp với tài khoản người dùng đã chạy kubectl; đây là biện pháp rà soát phòng ngừa, không phải IOC được Kubernetes chỉ định.
• Các nguồn hiện có không nêu log event chuyên biệt hoặc IOC cụ thể cho lỗ hổng này.