CVE-2023-30840

Fluid, məlumat intensiv tətbiqlər üçün açıq mənbəli Kubernetes-native paylanmış verilənlər dəsti orkestratoru və sürətləndiricisidir. Versiya 0.7.0-dan başlayaraq və versiya 0.8.6-ya qədər olan versiyalarda, zərərli istifadəçi fluid csi pod-unun ( `csi-nodeplugin-fluid` node-daemonset tərəfindən idarə olunan) işlədiyi Kubernetes node-una nəzarəti ələ keçirərsə, klasterdəki bütün node-ların spesifikasiyalarını dəyişmək üçün fluid-csi servis hesabından istifadə edə bilər. Lakin bu servis hesabı `list node` icazələrinə malik olmadığı üçün hücumçu həssas node-ları müəyyən etmək üçün digər texnikalardan istifadə etməli ola bilər. Hücumçu node spesifikasiyalarını müəyyən etdikdən və dəyişdirdikdən sonra, klasterdəki bütün secret-lara daxil olmaq və ya digər node-larda pod-ları icra etmək üçün sistem səviyyəli imtiyazlı komponentləri manipulyasiya edə bilər. Bu, onlara kompromisə uğramış node-dan kənara çıxaraq imtiyazlarını yüksəltməyə və potensial olaraq bütün klasterə tam imtiyazlı giriş əldə etməyə imkan verir. Bu boşluqdan istifadə etmək üçün hücumçu digər bütün node-ları planlaşdırıla bilməz hala gətirə bilər (məsələn, node-u taint-lər ilə yamaya leyər) və yüksək imtiyaza malik sistem-kritik komponentlərin kompromisə uğramış node-da görünməsini gözləyə bilər. Bununla belə, bu hücum iki ön şərt tələb edir: kompromisə uğramış bir node və digər vasitələrlə bütün həssas node-ların müəyyən edilməsi. Versiya 0.8.6 bu problem üçün yamaq ehtiva edir. Müvəqqəti həll yolu kimi, `fluid-system` namespace-indəki `csi-nodeplugin-fluid` daemonset-ni silin və FUSE fayl sistemlərini mount etmək üçün CSI rejimindən istifadə etməyin. Alternativ olaraq, FUSE fayl sistemlərini mount etmək üçün sidecar rejimindən istifadə etmək tövsiyə olunur.