Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Voragine di sicurezza in Kubernetes. A rischio i sistemi cloud

Dic 06, 2018 Marco Schiaffino News, RSS, Vulnerabilità 0

La vulnerabilità consente di accedere in remoto per rubare informazioni o sabotare le applicazioni. Aggiornamento disponibile, ma bisogna correre.

Una valutazione di 9.8 su 10 spiega meglio di qualsiasi altra cosa la gravità della falla di sicurezza individuata in Kubernetes, piattaforma open source che automatizza le operazioni dei container Linux.

La vulnerabilità (CVE-2018-1002105) interessa l’API server e consentirebbe a un pirata informatico di inviare una richiesta confezionata in modo da contattare un Kubelet, cioè un backend server collegato.

Una volta stabilita la connessione, la piattaforma non esegue alcun controllo sui comandi che vengono trasmessi. Questo a causa del fatto che vengono automaticamente autenticati con il certificato TLS creato al momento della connessione.

Come si spiega nel report relativo alla vulnerabilità (consultabile a questo indirizzo) la vulnerabilità è stata corretta nelle versioni 1.10.11; 1.11.5; 1.12.3 e 1.13.0-rc.1 della piattaforma.

Nello stesso report sono indicati alcuni metodi di mitigazione del rischio, che però hanno conseguenze piuttosto “importanti” sulla configurazione dei sistemi.

Il problema della sicurezza nei container sta diventando un tema di scottante attualità, per almeno un paio di motivi. Prima di tutto la versatilità dei sistemi di questo tipo, in caso di compromissione, si trasforma in una formidabile arma a doppio taglio.

In secondo luogo perché l’uso estensivo delle API rende molto più difficile di un tempo eseguire test di sicurezza che escludano la presenza di vulnerabilità nei sistemi.

Condividi l'articolo