Vulnerabilidad Crítica en Kubernetes Image Builder
Recientemente, se lanzó una actualización importante para Kubernetes Image Builder. Este lanzamiento corrige una vulnerabilidad grave. El problema surgió por credenciales fijas que permitían el acceso no autorizado.
Detalles de la Vulnerabilidad en Kubernetes
El aviso más reciente señala dos fallos de seguridad corregidos. Uno de ellos se clasifica como CVE-2024-9486. Este error se originó porque se activaron credenciales predefinidas durante el proceso de creación de imágenes.
Estas credenciales permanecieron activas incluso en las máquinas virtuales generadas mediante el proveedor Proxmox. Esto puso en riesgo a los nodos, ya que cualquier adversario podía acceder como root.
Impacto y Resolución del Problema
La vulnerabilidad afecta a las versiones de Kubernetes Image Builder hasta la v0.1.37 si se usó el proveedor Proxmox. Los detalles técnicos de esta vulnerabilidad están disponibles en GitHub.
Kubernetes aconseja a sus usuarios que reconstruyan las imágenes usando la versión corregida del constructor de imágenes. Esto garantiza una implementación segura en las VMs afectadas.
Calificación de Severidad y Recomendaciones
Este fallo recibió una calificación de severidad crítica, con un puntaje CVSS de 9.8. El investigador de seguridad Nicolai Rybnikar fue quien alertó sobre el problema. En respuesta, el equipo del proyecto lanzó la versión v0.1.38 para solucionar el fallo.
Además, se reconoció a Marcus Noble por su contribución en la corrección. El mismo lanzamiento también abordó otro problema de seguridad, conocido como CVE-2024-9594. Este fallo, de severidad media (CVSS 6.3), afecta a imágenes construidas con Nutanix, OVA, QEMU, o proveedores raw.
Pasos a Seguir para los Usuarios
Es crucial que los usuarios actualicen a la versión 0.1.38 o posterior del constructor de imágenes de Kubernetes. Esta actualización asegura que se apliquen todos los parches necesarios. Si no pueden realizar la actualización de inmediato, se recomienda deshabilitar la cuenta del constructor. Para ello, pueden usar el siguiente comando en las VMs afectadas: usermod -L builder.
Compartan sus opiniones en los comentarios.
Como joven medio de comunicación independiente, Seguridad y Firewall necesita tu ayuda. Apóyanos siguiéndonos y marcándonos como favoritos en Google News. Gracias por tu apoyo.