CVE-2025-26521

Bir Apache CloudStack kullanıcı hesabı bir projede CKS tabanlı bir Kubernetes kümesi oluşturduğunda, çağıran hesabın 'kubeadmin' kullanıcısının API anahtarı ve gizli anahtarı, CKS tabanlı Kubernetes kümesindeki gizli yapılandırmayı oluşturmak için kullanılır. CKS tabanlı Kubernetes kümesine erişebilen proje üyeleri, CKS kümesini oluşturan hesabın 'kubeadmin' kullanıcısına ait API anahtarına ve gizli anahtara da erişebilir. Projenin üyesi olan bir saldırgan, bunu kullanarak kimliğe bürünebilir ve oluşturucu hesaba ait kaynakların gizliliğinin, bütünlüğünün ve erişilebilirliğinin tamamen tehlikeye girmesine neden olabilecek ayrıcalıklı işlemler gerçekleştirebilir. CKS kullanıcılarının bu sorunu gideren 4.19.3.0 veya 4.20.1.0 sürümüne yükseltmeleri önerilir. Projelerdeki Mevcut Kubernetes Kümelerini Güncelleme: Özellikle Kubernetes küme sağlayıcıları ve otomatik ölçeklendirme için sınırlı erişim sağlamak amacıyla her proje için bir servis hesabı oluşturulmalıdır. Yeni bir servis hesabı oluşturmak, küme içindeki gizli bilgiyi güncellemek ve mevcut API ile servis anahtarlarını yeniden oluşturmak için aşağıdaki adımları izleyin: 1. Yeni Bir Servis Hesabı Oluşturun: Aşağıdaki detaylarla "Project Kubernetes Service Role" rolünü kullanan yeni bir hesap oluşturun: Hesap Adı: kubeadmin-<PROJE_KİMLİĞİNİN_İLK_SEKİZ_KARAKTERİ> Ad: Kubernetes Soyad: Service User Hesap Türü: 0 (Normal Kullanıcı) Rol Kimliği: <SERVİS_ROLÜNÜN_KİMLİĞİ> 2. Servis Hesabını Projeye Ekleyin: Bu hesabı, Kubernetes kümelerinin barındırıldığı projeye ekleyin. 3. API ve Gizli Anahtarları Oluşturun: Bu hesabın varsayılan kullanıcısı için API Anahtarı ve Gizli Anahtar oluşturun. 4. Kubernetes Kümesindeki CloudStack Gizli Bilgisini Güncelleyin: Aşağıdaki verilerle geçici bir `/tmp/cloud-config` dosyası oluşturun: api-url = <API_URL> # Örneğin: <MS_URL>/client/api api-key = <SERVICE_USER_API_KEY> secret-key = <SERVICE_USER_SECRET_KEY> project-id = <PROJECT_ID> kubectl ve Kubernetes küme yapılandırmasını kullanarak mevcut gizli bilgiyi silin: ./kubectl --kubeconfig kube.conf -n kube-system delete secret cloudstack-secret kubectl ve Kubernetes küme yapılandırmasını kullanarak yeni bir gizli bilgi oluşturun: ./kubectl --kubeconfig kube.conf -n kube-system create secret generic cloudstack-secret --from-file=/tmp/cloud-config Geçici dosyayı kaldırın: rm /tmp/cloud-config 5. API ve Gizli Anahtarları Yeniden Oluşturun: Kubernetes kümesini oluşturmak için kullanılan orijinal kullanıcı hesabı için API ve gizli anahtarları yeniden oluşturun.