gravitational/cve-2018-1002105कुबरनेट्स क्लस्टर भेद्यता स्कैनर जो CVE-2018-1002105 का पता लगाता है, अनधिकृत API पहुंच और दोषपूर्ण अनुरोधों के माध्यम से विशेषाधिकार वृद्धि का परीक्षण करके।
परीक्षण उपयोगिता जो एक क्लस्टर की जाँच करती है कि क्या वह उच्च गंभीरता वाले कुबेरनेट्स CVE के लिए असुरक्षित है, जो यहाँ प्रकाशित किया गया है। CVE-2018-1002105 के हितधारक-स्तरीय विवरण https://gravitational.com/blog/kubernetes-websocket-upgrade-security-vulnerability/ पर पाया जा सकता है।
आपके कुबेरनेट्स API सर्वर के सामने लेयर 7 लोड बैलेंसर या प्रॉक्सी के माध्यम से इस परीक्षण को चलाना अविश्वसनीय हो सकता है और गलत परिणाम उत्पन्न कर सकता है। यह परीक्षण API सर्वर से कनेक्ट होकर और API सर्वर के उन दुष्प्रभावों की जाँच करके काम करता है जो कुबेरनेट्स में बग को प्रदर्शित करते हैं। लेयर 7 लोड बैलेंसर के माध्यम से इस प्रूफ ऑफ कॉन्सेप्ट को चलाने से गलत संकेत मिल सकता है कि API CVE-2018-1002105 के लिए असुरक्षित है।
यह उपकरण गलत-सकारात्मक की ओर झुकता है, यदि आपका कुबेरनेट्स API किसी प्रमुख क्लाउड प्रदाता (जैसे Amazon AWS EKS, Google Cloud GKE या Microsoft Azure AKS) द्वारा प्रदान किया जाता है, तो उस सेवा प्रदाता ने लगभग निश्चित रूप से आपके API सर्वर को पैच कर दिया है और आप अब CVE-2018-1002105 से प्रभावित नहीं हैं। हम उन पुल रिक्वेस्ट का स्वागत करेंगे जो गैर-असुरक्षित API सर्वर एंडपॉइंट का पता लगाने में सुधार करती हैं।
go get github.com/gravitational/cve-2018-1002105
cd $GOPATH/src/github.com/gravitational/cve-2018-1002105
go run main.go
docker run -it --rm -v $HOME/.kube/config:/kubeconfig: quay.io/gravitational/cve-2018-1002105:latest
यह उपकरण दो चीजों का परीक्षण करने का प्रयास करेगा: क्या क्लस्टर API तक अप्रमाणित पहुँच की अनुमति देता है, जो तब एग्रीगेट API एंडपॉइंट तक अप्रमाणित पहुँच की अनुमति देगा। यह एक पॉड खोजने का भी प्रयास करेगा, और यह परीक्षण करने का प्रयास करेगा कि क्या API सर्वर एक दोषपूर्ण अनुरोध पर कनेक्शन को खुला छोड़ देगा, जो इंगित करता है कि क्लस्टर CVE-2018-1002105 के लिए संवेदनशील है।
Testing for unauthenticated access...
> API allows unauthenticated access
Testing for privilege escalation...
> API is vulnerable to CVE-2018-1002105
यदि आप API allows unauthenticated access देखते हैं, तो यह इंगित करता है कि परीक्षण क्लस्टर तक अप्रमाणित पहुँच का पता लगाने में सक्षम था। यह परीक्षण काफी बुनियादी है, लेकिन इसे एक डिफ़ॉल्ट कॉन्फ़िगरेशन का पता लगाना चाहिए जहाँ क्लस्टर तक अनाम पहुँच की अनुमति है।
यदि आप API is vulnerable to CVE-2018-1002105 देखते हैं, तो इसका मतलब है कि प्रदान किए गए kubeconfig का उपयोग करके, उपकरण आपके क्लस्टर के असुरक्षित होने का परीक्षण और पुष्टि करने में सक्षम था।