- בלוג
- באג ב-Kubernetes Image Builder חושף VMs לגישה בלתי מורשית
באג ב-Kubernetes Image Builder חושף VMs לגישה בלתי מורשית
באג ב-Kubernetes Image Builder חושף VMs לגישה בלתי מורשית
פורסם ב 23-10-2024
שתי פרצות נמצאו ב-Kubernetes Image Builder, כלי שנועד לבניית תמונות מערכת (images, או אימג’ים) ב-Kubernetes, בעזרת מגוון מנהלי מכונות וירטואליות וקונטיינרים. הפרצות, הקיימות בגירסאות 0.1.37 ומטה של הכלי, מאפשרות גישה לא מורשית למכונות וירטאליות (VMs – Virtual Machines) שנבנו באמצעותו.
הפרצות מתקיימות בשל אישורי ברירת המחדל שנוצרים על ידי Image Builder בזמן יצירת תמונות המערכת. באמצעות שימוש באישורים אלה, תוקף פוטנציאלי יכול לקבל גישת SSH למכונה הוירטולית.
הסבר קצת יותר טכני:
מערכת האימות של Image Builder למעשה מייצרת אישורים בקידוד-נוקשה (Hard-Coded Credentials). כלומר, אישורי האימות (credentials) – סיסמאות, מפתחות SSH, זהויות סודיות וכדומה – מוטמעות בקוד-המקור של Image Builder. הן מוטמעות בקוד-המקור כטקסט פשוט, משמע, הן אינן מוצפנות.
כל פעם ש-Image Builder בונה תמונת-מערכת, היא מקבלת אישור אימות מאלה המובנים בקוד-המקור.
הוצאת הסיסמאות האלה איננה עניין מסובך גם לתוקפים פחות מיומנים.
הפרצות התגלו ודווחו על ידי ניקולאי ריבניקאר (Nicolai Rybnikar) מחברת Rybnikar Enterprises GmbH. הן תוייגו כ-CVE-2024-9486, אשר קיבלה דירוג של 9.8 מתוך 10 בסולם CVSSv3 (קריטית); וכ-CVE-2024-9594, שקיבלה דירוג של 6.3 מתוך 10 בסולם CVSSv3 (בינונית).
הפרצות:
CVE-2024-9486 – פרצה זו משפיעה בעיקר על תמונות מערכת שנבנו עם הספקית Proxmox.
מכונות ויטואליות המבוססות על תמונות מערכת שנוצרו באמצעות שימוש בפלטפורמה של Proxmox אינן מבטלות את אישורי ברירת המחדל לאחר היווצרן של המכונות הוירטואליות. כפועל יוצא מזה, כל מי ששם ידיו על האישורים הללו, מקבל גישה למכונות הוירטואליות.
CVE-2024-9594 – הפרצה השניה מתייחסת לתמונות מערכת שנבנו באמצעות הספקיות Nutanix, Qemu ו-OVA. במקרה זה, אישורי ברירת המחדל כן מתבטלים לאחר שהמכונה הוירטואלית נוצרת. הפרצה מתקיימת רק במידה שלתוקף הייתה גישה למכונות הוירטואליות בהן נבנות תמונות המערכת, בזמן בנייתן. אם הייתה לו גישה, ואם הוא הספיק לנצל את הגישה הזאת (ואת החולשה של אישורי הגישה בקידוד נוקשה) כדי לבצע שינויים בתמונת המערכת בזמן הבנייה, אז ישנה פרצה.
הערה: תמונות מערכת שנבנו באמצעות ספקים אחרים מאלו שצויינו אינן תחת סיכון.
איך לדעת אם המכונות הוירטואליות שלכם בסכנה?
בדיווח, צוות התגובה והביטחון של Kuberenetes ממליצים לבדוק קודם באיזו גירסה של Image Builer אתם משתמשים.
ניתן לבצע את הבדיקה לפי האופן בו התקנתם את Image Builder על המערכת שלכם.
להתקנות שבוצעו באמצעות שכפול מהמצבור (repository) של git:<cd <local path to image builder repo
make version
אם מדובר בהתקנה שבוצעה מקובץ tarball שהורד מהאינטרנט:<cd <local path to install location
grep -o v0\.[0-9.]* RELEASE.md | head -1
התקנות לקונטיינרים:docker run --rm version
או:podman run --rm version
או לפי התג של תמונת המערכת, שנראה כך (בתמונה מובא התג של תמונת מערכת רשמית):registry.k8s.io/scl-image-builder/cluster-node-image-builder-amd64:v0.1.37
הערה: אמנם הדיווח מתייחס באופן ספציפי לפרצה הראשונה והקריטית יותר (CVE-2024-9486), אך הצעדים נכונים גם לפרצה השניה (CVE-2024-9594), כפי שניתן לראות בדיווח עליה.
אם אתם חושדים שהפרצה נוצלה על המכונות הוירטואליות שלכם, אתם יכולים לבדוק אם בוצעו כניסות דרך “חשבון” הבונה (builder) באמצעות הפקודה הבאה:last builder
כדי להגן על המכונות הוירטואליות שלכם:
1. עדכנו את Kubernetes Image Builder ל-גירסה 0.1.38 לפחות. החל מגירסה זו, לכל תמונת מערכת שנבנית מוקצית סיסמה אקראית, ולאחר סיום הבניה ה”חשבון”, יחד עם הסיסמה, מתבטלים.
2. יש להחליף תמונות מערכת פגיעות על מכונות ויטואליות בכאלה שנוצרו באמצעות גירסה 0.1.38 (לפחות).
3. אם איו ביכולתכם לבצע את שני הצעדים האלה, ניתן לבטל את “חשבון” הבונה (builder) ב-Kuberenetes Image Builder על מכונות וירטואליות בהן קיימת הפרצה:usermod -L builder
זכרו שמדובר בצעד זמני בלבד.
אנו ממליצים לכם לנקוט בצעדי המניעה הללו בדחיפות כדי להגן על המכונות הוירטואליות שלכם מתוקפים.
לסיוע נוסף ולכל בקשה אחרת, אנחנו מזמינים אתכם לפנות אלינו. צור קשר
שאלות נפוצות של Jetserver – כל מה שצריך לדעת
חברת Jetserver, אשר הוקמה בשנת 2006, היא חברה המספקת שירותי רישום דומיינים, שירותי אחסון אתרים ושירותי ענן שונים, עם התאמה אישית לכל לקוח.
החברה מורכבת מאנשי צוות בעלי רקע טכנולוגי מגוון, ועם ניסיון בתחומים רבים כגון מחקר ופיתוח, תקשורת נתונים, סיסטם, אבטחת מידע, פרסום ושווק, עיצוב, ניהול פרוייקטים וכו’.
Jetserver הקימה את מערך התמיכה שלה על בסיס של אהבת אדם ועזרה לזולת, ומתוך עקרונות אלה היא מספקת תמיכה טכנית באמצעות מענה אנושי מקצועי, הפעיל מסביב לשעון – 24 שעות ביממה, 7 שעות בשבוע, ואף תורמת רבות לקהילת הקוד הפתוח בקנה מידה עולמי.
הדבר החשוב ביותר ל-Jetserver הוא הצלחת לקוחותיה, ואספקת שירות מאובטח, מהיר, יציב, נגיש, וברמה הגבוהה ביותר.
נוסף על כך, חברת Jetserver מוסמכת כרשם דומיינים על ידי איגוד האינטרנט הישראלי, ועומדת בתקן אבטחת המידע המחמיר ISO27001.
קראו עוד כאן!
וותק וניסיון – חברת Jetserver פעילה בתחום אחסון האתרים משנת 2006. מאז, החברה צברה המון ניסיון וידע, אשר מתבטאים בשירות מעולה ללקוחותיה.
התאמה אישית וגמישות – אם אתם צריכים משהו שלא מופיע בחבילות השירותים של Jetserver, תוכלו לדבר עם שירות הלקוחות של החברה – סביר שניתן יהיה למצוא משהו שמתאים לכם.
תמיכה מעולה – שירות הלקוחות והתמיכה הטכנית של Jetserver פעילים 24/7, וניתנים על-ידי נציגים מקצועיים ובעלי ידע וניסיון בתחום אחסון האתרים ושירותי הענן.
נוסף לתמיכה האנושית, Jetserver מספקת ללקוחותיה מאגר מידע נרחב, עם מדריכים מפורטים לביצוע פעולות שונות ומאמרים שונים בתחום.
חוות שרתים בפריסה עולמית – ל-Jetserver יש מעל ל-20 חוות שרתים הפזורות בכל רחבי העולם, כך שלקוחותיה יכולים להנגיש את שירותי הרשת שלהם למגוון רחב של קהלי יעד במספר יעדים, ובו בזמן ליהנות מהיתרונות שבקבלת שירות מחברה ישראלית ומקומית.
עמידה בתקנים – חברת Jetserver מחויבת לשמור על הסטנדרטים הגבוהים ביותר של אבטחת מידע, ועומדת בתקן ISO/IEC 27001, אשר שם דגש על הגנה על לקוחות ועל שיפור מתמיד. כלומר, עם Jetserver, אתם יכולים להיות בטוחים שהמידע והנכסים הדיגיטליים שלכם מוגנים ובטוחים כל הזמן.
Jetserver מציעה מגוון שירותי אחסון אתרים ושירותי ענן שמתאימים לכל סוגי הלקוחות – פרטיים ועסקיים כאחד. כל שירות כולל מספר חבילות או רמות, על מנת להתאים לכל לקוח ביתר דיוק. ניתן לבצע התאמות נוספות במידת הצורך, באמצעות יצירת קשר עם שירות הלקוחות של החברה.
Jetserver היא רשם מוסמך מטעם איגוד האינטרנט הישראלי, ומציעה ללקוחותיה שירותי רישום, רכישה, חידוש, העברה ואבטחה של דומיינים בינלאומיים וישראליים. לפרטים נוספים, ניתן להקליק כאן.
בנוסף, אלה השירותים ש-Jetserver מציעה ללקוחותיה:
שירותי אחסון אתרים:
- אחסון ייעודי מהיר ל-וורדפרס (WordPress), ג’ומלה (Joomla) ומג’נטו (Magento)
- אחסון אתרים שיתופי
- תוכניות ריסלר (Reseller)
- אחסון אתרים מבוסס אופטימיזציה במנועי חיפוש (SEO)
שירותי ענן:
- שרת וירטואלי פרטי (VPS) בהתאמה אישית ועצמית של הלקוח, עם האפשרות לניהול מלא של השרת על-ידי Jetserver
- סביבת Docker מנוהלת
- אחסון NodeJS על-גבי שרת ענן
פתרונות אבטחת מידע וסייבר:
- חומת-אש בענן (Cloud Firewall)
- פתרונות התאוששות מאסון
באופן כללי, ההבדלים בין חבילות האחסון שלנו מתבטאים בשלושה מאפיינים עיקריים: סוג האתר לו האחסון מיועד, כמות המשאבים והתוספות לשרתים בחבילת האחסון (ואילו תוספים), ומחירה של כל חבילה.
אלה שירותי אחסון האתרים שאנחנו מספקים:
שרת וירטואלי פרטי (VPS) – שרת וירטואלי פרטי הוא הדמיה של שרת "רגיל", שמקבל את המשאבים שלו משרת פיזי (או מכמה שרתים פיזיים ביחד) אשר פועל מתוך חוות השרתים שלנו – דהיינו, חלק משירותי הענן של Jetserver.
המחיר של שרת וירטואלי ב-Jetserver נקבע בזמן אמת על-פי הגדרות הלקוח בעת הרכישה, והוא מתאים לכל מי שצריך פתרון גמיש לאירוח אתרים (או כל דבר אחר) שניתן לשדרג או לשנמך בקלות.
אחסון אתרים שיתופי – סוג אחסון האתרים הבסיסי ביותר שאנחנו מציעים. מספר אתרים מתארחים על גבי שרת אחד ומשתמשים ביחד במשאביו, כמו תוכנות שפועלות על מחשב.
אחסון שיתופי מתבטא במחיר זול מאוד, ומתאים לאתרים "קלים" יחסית, שצורכים כמות משאבים בסיסית מאוד, כמו כרטיסי ביקור מקוונים או אתרי תדמית.
אחסון אתרים ריסלר (Reseller) – במסגרת אחסון אתרים ריסלר, חברת שירותי אחסון אתרים מספקת ללקוח כמות מוגדרת של משאבי אחסון אתרים (רוחב פס, שטח אחסון נתונים, זיכרון RAM, יחידות עיבוד, וכו’), ומאפשרת לו לפצל את המשאבים האלה לחשבונות קטנים יותר. את החשבונות הקטנים האלה, הלקוח מוכר כשירות אחסון אתרים, תחת מותג ומחירים משלו.
לשם ההשוואה, חברת שירותי האחסון הנה בעלת בניין, והלקוח שוכר את הבניין, מחלק אותו לחדרים לפי ראות עיניו, ומשכיר את החדרים כמותג מלונאות.
חבילות ריסלר נועדו למי שרוצה לשמש כספק אחסון אתרים בעצמו, בקנה מידה קטן עד בינוני, ללא צורך בידע טכני בתחום.
אחסון אתרים מהיר וורדפרס (WordPress), מג’נטו (Magento), ו-גו’מלה (Joomla) – שלושה סוגים שונים של חבילות שירות, כל אחת מקנה גישה לשרת, אשר הותאם במיוחד עבור אתר שהוקם באמצעות פלטפורמה ספציפית, בהתאם לשם החבילה (למשל, אחסון וורדפרס יספק שרת אשר הותאם במיוחד להרצת אתר שנבנה באמצעות וורדפרס).
כל אחת מחבילות האחסון כוללת התאמות שונות אשר מביאות את האתר למצב פעולה אופטימלי, בזכות השרת המריץ אותו.
סוג אחסון אתרים זה, הנקרא "אחסון ייעודי", מתאים למי שצריך שרת לשם מטרה אחת בלבד – הרצת אתר אשר מבוסס על פלטפורמה מסוימת – אך אינו מתכנן לייעד את השרת למטרה אחרת.
אחסון אתרים ייעודי יהיה בעל מחיר קצת יותר גבוה ממחירו של "סתם שרת", בשל ההתאמות והתוספים השונים, ובשל תהליך האופטימיזציה הנעשה על-ידי אנשי צוות מקצועיים.
אחסון אתרים SEO – תוכנית המאפשרת קידום אתרים באמצעות בניית ואירוח מערך אתרי לוויין – אתרים "קטנים" שנבנים במיוחד על מנת להכיל קישורים לאתר ראשי, במטרה לקדם אותו במנועי החיפוש.
במסגרת השירות, הלקוח מקבל מספר כתובות IP וכמות גבוהה של חשבונות, באמצעותם הוא יכול לארח את אתרי הלוויין ולקשר אותם לאתר הראשי אותו הוא מעוניין לקדם.
אחסון אתרים SEO אינו זול, אך הוא אידיאלי למקדמי אתרים, וגם למי שמעוניין לקדם את האתר שלו באופן עצמאי.
מאחר שאתרי הלוויין הנם אתרים "קלים" יחסית, אחסון אתרים SEO אינו כולל כמות גבוהה של משאבים.
כן, Jetserver מציעה שירות לקוחות ותמיכה זמינים במשך כל שעות היממה, לאורך כל השבוע.
התמיכה ושירות הלקוחות ניתנים על-ידי נציגים מנוסים ומוסמכים בתחומים שונים, כמו אופטימיזציה של שרתים, אבטחת מידע, שירותי ענן, בניית אתרים, פיתוח, רשתות תקשורת, וכו’.
נוסף על כך, חברת Jetserver מספקת תמיכה של צוות DevOps לכל העוסקים בפיתוח, בניית אתרים, תהליכי אוטומציה, ועוד.
ליצירת קשר עם צוות התמיכה של Jetserver, הקליקו כאן.
Jetserver היא רשם דומיינים מוסמך על ידי איגוד האינטרנט הישראלי, ומספקת שירותי רישום דומיינים עולמיים וישראליים, בנוסף לחידוש, העברת, ניהול ואבטחת דומיינים.
הקליקו כאן לפרטים נוספים על שירותי הדומיין השונים של Jetserver.
כן, כן, וכן.
אנחנו מספקים שירותי גיבוי שונים לכל השרתים שלנו. שירותי הגיבוי הכוללים גיבויים אוטומטיים, גיבויים ידניים, אחסון גיבויים על שרתים מרוחקים, ושימוש בתוכנת JetBackup. מדיניות הגיבויים תלויה בחבילת השירות הרלוונטית ובצרכים שלכם כלקוחות.
אנחנו מספקים גם שירותי התאוששות מאסון, אשר כוללים גיבויים של מערכות קריטיות ואחסונם על שרתים מרוחקים (גיבוי רב-איזורי).
שרתי CDN גם כן כלולים ברשימת השירותים שאנו מספקים. ללקוחות שצריכים להגיע לכמה קהלי יעד ברחבי העולם, וארגונים בעלי עובדים בפריסה עולמית, אנחנו מספקים אפשרות שימוש ברשתות CDN של שתי חברות:
- • Cloudflare – בעלת פריסה של 330 שרתי CDN בכל רחבי העולם, הפועלים בשיטת "מטמון מדורג" (כלומר, אם שרת העברת התוכן לא מכיל את נתוני המטמון שהגולש מחפש, הוא "ישלח" את הגולש לשרת הקרוב אליו, וחוזר חלילה).
- • Sucuri – רשת CDN המתמקדת באבטחה וכוללת מערכת WAF, בנוסף להתאמה למערכות תוכן שונות (כמו וורדפרס).
כל חבילות אחסון האתרים שלנו כוללות תעודת SSL חינמית (אשר מספיקה למרבית סוגי האתרים). לקוחות אשר זקוקים לרמות יותר גבוהות של אבטחה וביצועים יכולים לרכוש תעודת SSL לא חינמית בתשלום נוסף.
השותפים שלנו
