CVE-2024-43803

Bare Metal Operator (BMO), Metal3-də bare metal hostlarını idarə etmək üçün Kubernetes API tətbiq edir. `BareMetalHost` (BMH) CRD, təmin edilən host üçün `userData`, `metaData` və `networkData`-nın Kubernetes Secret-lərinə keçidlər kimi təyin edilməsinə imkan verir. Həm Secret-in `Name`, həm də `Namespace` sahələri mövcuddur, bu o deməkdir ki, 0.8.0, 0.6.2 və 0.5.2 versiyalarından əvvəlki baremetal-operator versiyaları istənilən namespace-dən `Secret` oxuyacaqdır. Beləliklə, `BareMetalHost` yaratmaq və ya redaktə etmək hüququ olan istifadəçi, məsələn, hansısa hostun təmini üçün onu `userData` kimi istifadə edərək başqa bir namespace-dən `Secret` məlumatlarını sızdıra bilər (qeyd edək ki, bu mütləq real host olmalı deyil, haradasa yerləşən bir VM ola bilər). BMO yalnız adı `value` (və ya `userData`, `metaData` və ya `networkData`) olan açarı oxuyur, bu isə riskləri müəyyən dərəcədə məhdudlaşdırır. Lakin `value` çox güman ki, kifayət qədər geniş yayılmış bir açardır. Fərqli namespace-lərdə digər `BareMetalHost`-lar tərəfindən istifadə edilən Secret-lər həmişə risk altındadır. Klaster administratorlarından başqa heç kimin `BareMetalHost` yaratmaq/redaktə etmək üçün RBAC girişinin olması nisbətən nadir haldır. Bu zəiflik yalnız klasterdə administratorlardan başqa istifadəçilərin olduğu və istifadəçilərin imtiyazlarının öz müvafiq namespace-ləri ilə məhdudlaşdırıldığı hallarda əhəmiyyətlidir. Yamaq, BMO-nun BMH girişi kimi digər namespace-lərdəki Secret-lərə keçidləri qəbul etməsinin qarşısını alır. İstənilən BMH konfiqurasiyası yalnız eyni namespace-dən oxunur. Problem BMO-nun v0.7.0, v0.6.2 və v0.5.2 versiyalarında düzəldilib və istifadəçilər bu versiyalara yüksəltmə etməlidirlər. Yüksəltmədən əvvəl, BMC Secret-lərini müvafiq BMH-nin olduğu namespace-ə kopyalayın. Yüksəltmədən sonra köhnə Secret-ləri silin. Alternativ həll yolu kimi, operator BMO-nun digər namespace-lərdəki Secret-lərə girişini önləmək üçün BMO RBAC-ni Secret-lər üçün klaster səviyyəli (cluster scoped) yox, namespace səviyyəli (namespace scoped) konfiqurasiya edə bilər.