CVE-2021-41254

kustomize-controller, Kubernetes manifestləri ilə təyin edilmiş və Kustomize ilə birləşdirilmiş infrastruktur və iş yükləri üçün davamlı çatdırılma konveyerlərinin işə salınmasında ixtisaslaşmış bir Kubernetes operatorudur. Kubernetes Secrets, Service Accounts və Flux Kustomization obyektləri yarada bilən istifadəçilər, Kubernetes Secret daxilinə shell skripti yerləşdirməklə kustomize-controller konteyneri daxilində əmrləri icra edə bilərdilər. Bu, kustomize-controller-in Service Account-u altında `kubectl` əmrlərini işə salmaq üçün istifadə edilə bilər ki, bu da autentifikasiya olunmuş Kubernetes istifadəçisinə klaster administratoru imtiyazlarını əldə etməyə imkan verir. Təsirə məruz qalan versiyalarda, admin olmayan istifadəçilərin Flux Kustomization obyektləri yaratmaq icazələrinin olduğu çoxistifadəçili (multitenant) mühitlər bu problemdən təsirlənir. Bu zəiflik 2021-10-08 tarixində buraxılan kustomize-controller v0.15.0 (flux2 v0.18.0 tərkibində) versiyasında aradan qaldırılmışdır. v0.15 versiyasından başlayaraq, kustomize-controller artıq konteyner ƏS-də shell əmrlərini icra etmir və `kubectl` binar faylı konteyner imicindən çıxarılıb. Tenant-lara məxsus namespace-lərdə `secrets` ilə Kubernetes Service Accounts yaradılmasının qarşısını almaq üçün Gatekeeper OPA və ya Kyverno kimi Kubernetes validasiya webhook-larından istifadə edilə bilər.