Kubernetes 中的命令注入漏洞-CVE-2023-3676

介绍

YAML（YAML Ain't Markup Language）是一种类似于 JSON 的数据序列化语言，主要用于配置文件。因此，它在 Kubernetes 这一新兴的无处不在的容器编排系统中发挥着重要作用，可帮助组织自动部署、扩展和管理容器化应用程序。Kubernetes 框架基本上使用 YAML 文件来处理所有事情——从配置容器网络接口到 Pod 管理，甚至秘密处理。

Kubernetes 中的 YAML 文件一直是近年来的研究主题。考虑到 Kubernetes 依赖 YAML 进行集群配置，这个研究主题特别值得深入研究。

YAML 文件的解析由kubelet执行，kubelet 是 Kubernetes 中的一个中央服务，负责在节点上运行容器化应用程序。作为 CVE-2021-25741 补丁的一部分，kubelet 验证 YAML 文件中的每个参数，并通过调用内部函数“ isLinkPath ”确保不会因使用 subPath 参数而创建符号链接。该函数如图 2 所示。

该函数将用户在 YAML 文件中提供的 subPath 作为参数。然后，它使用此路径创建一个 PowerShell 命令，用于确定路径类型（即是否是符号链接）。然后，“ exec.Command ”函数调用立即调用格式化的 PowerShell 命令。

“ exec.Command ”的存在与未经净化的用户提供的输入相结合，强烈暗示存在命令注入机会。

PowerShell 允许用户在使用字符串内的值之前对其进行评估。例如，可以通过将 $(< experssion_to_be_evaluated >) 添加到字符串中来完成此操作（图 3）。

这个示例非常简单，但实际上任何PowerShell 命令都可以插入到括号之间并且将被计算 - 例如 $( Start-Process cmd )、$( Invoke-Expression exp ) 和其他 PowerShell 处理。

攻击者可以滥用此子路径评估来访问易受攻击的代码，并使用系统权限（kubelet 自己的上下文）从远程节点执行他们想要的任何命令，并获得对集群中所有 Windows 节点的控制。图 4 显示了恶意 subPath 值。

展示 CVE-2023-3676 的概念证明

概念证明只是一个包含 PowerShell 命令评估的YAML 文件。您可以在我们的 GitHub 存储库中找到此文件以及展示正在启动的终端的视频。

此 CVE 导致发现并修复了更多命令注入漏洞。它们的编号分别为 CVE-2023-3955 和 CVE-2023-3893。

补丁分析

Kubernetes 团队选择通过从环境变量而不是用户输入传递参数来修补此类漏洞（图 5）。通过以这种方式传递值，参数将被视为字符串 - 因此，它们不会被 PowerShell 视为表达式进行计算。

图 5：CVE-2023-3676 的修补函数

结论

CVE-2023-3676 需要较低的权限，因此为攻击者设置了较低的门槛：他们所需要的只是访问节点并应用权限。正如我们在这篇博文中所讨论的，成功利用此漏洞将导致在具有 SYSTEM 权限的计算机上的任何 Windows 节点上远程执行代码。

高影响力加上易于利用通常意味着组织更有可能看到此攻击（以及类似的攻击）。事实上，该漏洞的唯一限制因素是其范围——它仅限于 Windows 节点，而如今 Windows 节点还不太流行。

可点击阅读原文-跳转到原文地址