CVE-2025-26521

Apache CloudStack istifadəçi hesabı bir layihədə CKS əsaslı Kubernetes klasteri yaratdıqda, çağırıcı hesabın 'kubeadmin' istifadəçisinin API açarı və gizli açarı (secret key), CKS əsaslı Kubernetes klasterində gizli konfiqurasiyanı yaratmaq üçün istifadə olunur. CKS əsaslı Kubernetes klasterinə daxil ola bilən layihə üzvü, həmçinin CKS klasterini yaradan hesabın 'kubeadmin' istifadəçisinin API açarına və gizli açarına daxil ola bilər. Layihənin üzvü olan hücumçu bundan istifadə edərək həmin şəxs kimi çıxış edə və yaradıcının hesabına məxsus resursların konfidensiallığının, bütövlüyünün və əlçatanlığının tamamilə pozulmasına səbəb ola biləcək imtiyazlı hərəkətlər yerinə yetirə bilər. CKS istifadəçilərinə bu problemi aradan qaldıran 4.19.3.0 və ya 4.20.1.0 versiyasına yeniləməklə təkmilləşdirmə tövsiyə olunur. Layihələrdə mövcud Kubernetes Klasterlərinin Yenilənməsi: Xüsusi olaraq Kubernetes klaster provayderləri və avtomatik miqyaslama (autoscaling) üçün məhdud giriş təmin etmək məqsədilə hər bir layihə üçün servis hesabı yaradılmalıdır. Yeni servis hesabı yaratmaq, klaster daxilindəki gizli məlumatları yeniləmək və mövcud API və servis açarlarını yenidən yaratmaq üçün aşağıdakı addımları izləyin: 1. Yeni Servis Hesabının Yaradılması "Project Kubernetes Service Role" rolu ilə aşağıdakı detalları istifadə edərək yeni hesab yaradın: Hesab Adı: kubeadmin-<PROJECT_ID_NIN_İLK_SƏKKİZ_SİMVOLU> Ad: Kubernetes Soyad: Service User Hesab Tipi: 0 (Normal User) Rol ID: <ID_OF_SERVICE_ROLE> 2. Servis Hesabının Layihəyə Əlavə Edilməsi Bu hesabı Kubernetes klasterinin (klasterlərinin) yerləşdiyi layihəyə əlavə edin. 3. API və Gizli Açarların Yaradılması Bu hesabın standart istifadəçisi üçün API Key və Secret Key yaradın. 4. Kubernetes Klasterində CloudStack Gizli Məlumatlarının Yenilənməsi Aşağıdakı məlumatlarla müvəqqəti `/tmp/cloud-config` faylı yaradın: api-url = <API_URL> # Məsələn: <MS_URL>/client/api api-key = <SERVICE_USER_API_KEY> secret-key = <SERVICE_USER_SECRET_KEY> project-id = <PROJECT_ID> kubectl və Kubernetes klaster konfiqurasiyası vasitəsilə mövcud gizli məlumatı silin: ./kubectl --kubeconfig kube.conf -n kube-system delete secret cloudstack-secret kubectl və Kubernetes klaster konfiqurasiyası vasitəsilə yeni gizli məlumat yaradın: ./kubectl --kubeconfig kube.conf -n kube-system create secret generic cloudstack-secret --from-file=/tmp/cloud-config Müvəqqəti faylı silin: rm /tmp/cloud-config 5. API və Gizli Açarların Yenidən Yaradılması Kubernetes klasterini yaratmaq üçün istifadə edilmiş orijinal istifadəçi hesabı üçün API və gizli açarları yenidən yaradın.