CVE-2023-30840

Fluid, veri yoğunluklu uygulamalar için açık kaynaklı, Kubernetes-yerel bir dağıtık veri seti düzenleyici ve hızlandırıcıdır. Versiyon 0.7.0'dan başlayarak versiyon 0.8.6 öncesine kadar olan sürümlerde, kötü niyetli bir kullanıcı fluid csi pod'unun (`csi-nodeplugin-fluid` node-daemonset tarafından kontrol edilen) çalıştığı bir Kubernetes düğümünün kontrolünü ele geçirirse, kümedeki tüm düğümlerin spec'lerini değiştirmek için fluid-csi servis hesabından yararlanabilir. Ancak, bu servis hesabı `list node` izinlerinden yoksun olduğundan, saldırgan savunmasız düğümleri belirlemek için diğer teknikleri kullanmak zorunda kalabilir. Saldırgan düğüm spec'lerini belirleyip değiştirdikten sonra, kümedeki tüm secret'lara erişmek veya diğer düğümlerde pod'lar çalıştırmak için sistem düzeyinde ayrıcalıklı bileşenleri manipüle edebilir. Bu durum, saldırganın yetkilerini ele geçirilen düğümün ötesine taşımasına ve potansiyel olarak tüm kümeye tam ayrıcalıklı erişim sağlamasına olanak tanır. Bu güvenlik açığından faydalanmak için saldırgan, diğer tüm düğümleri zamanlanamaz hale getirebilir (örneğin, düğümleri taint ile yamalayarak) ve yüksek ayrıcalığa sahip sistem kritik bileşenlerin ele geçirilen düğümde görünmesini bekleyebilir. Bununla birlikte, bu saldırı iki ön koşul gerektirir: ele geçirilmiş bir düğüm ve diğer yollarla tüm savunmasız düğümlerin belirlenmesi. Versiyon 0.8.6 bu sorun için bir yama içermektedir. Geçici çözüm olarak, `fluid-system` namespace'indeki `csi-nodeplugin-fluid` daemonset silinmeli ve FUSE dosya sistemlerini bağlamak için CSI modu kullanılmamalıdır. Alternatif olarak, FUSE dosya sistemlerini bağlamak için sidecar modunun kullanılması önerilir.