Kubernetes 权限升级并可以访问 OpenShift 产品和服务中的敏感数据 - CVE-2018-1002105

受影响的产品

红帽产品安全团队已把 CVE-2018-1002105 的安全影响级别定为 Critical（严重）。

以下红帽产品版本会受到影响：

• Red Hat OpenShift Container Platform 3.x
• Red Hat OpenShift Online
• Red Hat OpenShift Dedicated

Attack Description and Impact

OpenShift API 服务器是一个用来处理 OpenShift Container Platform 3 API 请求的组件。在 OpenShift API 服务器的 “upgradeawarehandler” 类型中有一个漏洞。这个类型对计算节点以及其它通过 API 扩展添加的服务起到一个反向代理的作用。因为反向代理中存在的这个漏洞，当出现错误时反向代理不会关闭已连接到下游服务的连接。这将可以使用户通过调用 API 来升级自己的权限。

有两种方法来利用这个安全漏洞对 OpenShift Container Platform、OpenShift Online 或 OpenShift Dedicated 进行攻击。第一个方法涉及到对分配给普通用户的 pod exec、attach 或 portforward 权限的滥用；第二个方法是攻击 OpenShift Container Platform 3.6 以及更高版本中的 API 扩展功能（API 扩展用来提供服务目录（service catalog）并访问通过 API 扩展添加的其它服务）。

如果一个用户有任何 pod 的 pod exec/attach/portforward 权限，则其权限可以被升级到 cluster-admin，任何到一个计算节点 Kubelet api 的 API 调用都可以实现。对 Kubelet api 的 API 调用允许用户 exec 到任何运行在相同节点上的容器，包括可以对主机文件系统进行读/写操作的特权容器。

第二种攻击不需要任何特权，它会利用 OpenShift Container Platform、OpenShift Online 和 Dedicated 中 metrics-server’ 和 ‘servicecatalog’ 使用的 API 扩展的功能进行攻击。一个没有权限的用户可以获得部署在集群中的任何 API 扩展的 cluster-admin 权限，包括 ‘servicecatalog’。具有 ‘servicecatalog’ 的 Cluster-admin 访问权限将允许在任何命名空间以及任何节点上创建服务代理（service broker） 

诊断安全漏洞

要检查安装的 OpenShift Container Platform 版本，发送一个到 API 服务器的 http 请求（请注意：URL 应该和 webconsole URL 相同）：

   curl https://openshift.example.com:8443/version/openshift | grep gitVersion

*端口值由具体配置决定

或者，如果您已使用 ‘oc’ 命令登录，则可以使用以下命令检查版本信息：

   oc version

如果 OpenShift Container Platform 的版本低于以下列出的版本，则存在这个安全漏洞：

• v3.11.43-1
• v3.10.72-1
• v3.9.51-1
• v3.8.44-1
• v3.7.72-1
• v3.6.173.0.140-1
• v3.5.5.31.80-1
• v3.4.1.44.57-1
• v3.3.1.46.45-1
• v3.2.1.34-2

采取行动

我们强烈建议，运行受影响版本的红帽产品的用户，在相关的勘误可用后，尽快进行更新。 

OpenShift Online (Starter、Pro) 已进行了升级。 使用 OpenShift Dedicated 的用户，请联系您的相关支持人员来确认系统的状态以及相应的更新计划。 

受影响产品的更新

缓解方案

解决 OpenShift Container Platform 版本 3.2 或更高版本中这个问题的更新已提供。   

已升级到最新版本的用户不需要执行额外的缓解操作。但是，如果没有进行升级，则推荐进行相关的缓解操作。 

缓解 pod exec/attach/port-forward 攻击 (OCP 3.2->3.11)

修改默认 admin 的设置，编辑带有 pod attach/exec/port-forward 权限的角色：

$oc edit clusterrole admin

添加一个值为 false 的 ‘rbac.authorization.kubernetes.io/autoupdate’ annotation，删除 pod attach/exec/portforward 权限。例如：

apiVersion: v1
kind:ClusterRole
metadata:
   annotations:
      openshift.io/description:A user that has edit rights within the project and can
        change the project's membership.
   creationTimestamp:2018-11-21T01:34:04Z
   name: admin
   resourceVersion:"148192"
   selfLink: /oapi/v1/clusterroles/admin
   uid:87dd0306-ed2d-11e8-9456-fa163e65ec84
rules:
- apiGroups:
  - ""
   attributeRestrictions: null
   resources:
  - pods
  - pods/proxy
   verbs:

对带有这些权限的 ‘edit’ 角色进行同样操作。

对于项目中的单个用户：

检查分配给用户的角色。在这里，admin 角色分配给了 quicklab 用户：
 
$ oc project myproj
$ oc adm policy who-can get pods/exec
Namespace: test
Verb:      get
Resource:  pods/exec
 
Users:  quicklab
        system:admin
        system:serviceaccount:kube-system:generic-garbage-collector
        system:serviceaccount:kube-system:namespace-controller
 
Groups: system:cluster-admins
        system:masters
 
 
$ oc get rolebindings
NAME                    ROLE                    USERS      GROUPS                          SERVICE ACCOUNTS   SUBJECTS
admin           /admin          quicklab                                                      
system:deployers        /system:deployer                                                   deployer           
system:image-builders   /system:image-builder                                              builder            
system:image-pullers    /system:image-puller               system:serviceaccounts:myproj
$ oc export clusterrole admin > admin-mitigate.yml

编辑 admin-mitigate.yml，添加一个值为 false 的 ‘rbac.authorization.kubernetes.io/autoupdate’ annotation，修改名称并删除 pod attach/exec/portforward 权限。例如：

apiVersion: v1
kind:ClusterRole
metadata:
  annotations:
    openshift.io/description:A user that has edit rights within the project and can
      change the project's membership.
    rbac.authorization.kubernetes.io/autoupdate: "false"
  creationTimestamp: null
  name: admin-mitigate
rules:
- apiGroups:
  - ""
  attributeRestrictions: null
  resources:
  - pods
  - pods/proxy
  verbs:
   ...

创建具有新配置的新角色：

$ cat admin-mitigate.yml | oc create -f -

将此角色分配给您不想让其拥有这些权限的用户：

$ oc adm policy remove-role-from-user admin quicklab
role "admin" removed: "quicklab"
$oc adm policy add-role-to-user admin-mitigate quicklab
role “admin-mitigate’”added: “quicklab”

缓解对 API 扩展的攻击（OCP 3.6 -> 3.11）

在集群升级到可以解决这个问题的更新版本前，可以通过删除受影响的 API 扩展来缓解对 API 扩展的攻击。请仔细检查每个服务以确保删除它们不会导致关键功能的丧失。如果删除某些服务会影响到所需的功能，则需要采取其它方案，如对网络功能的使用进行限制。

获取需要禁用的服务列表：

$ oc get apiservices -o=custom-columns=NAME:.metadata.name,SERVICE:.spec.service,STATUS:.status.conditions[0].type,VALUE:.status.conditions[0].status | grep -v '<nil>'

例如，在 OCP 3.11 中服务可能包括：

名称	服务	状态	值
v1beta1.servicecatalog.k8s.io	map[name:apiserver namespace:kube-service-catalog]	Available	True

禁用输出中列出的服务，例如：

$ oc delete svc apiserver -n kube-service-catalog

在这个例子中，重新启用 service-catalog 运行 openshift-service-catalog playbook。请参阅产品文档来获得重新启用其它服务的信息。

$ ansible-playbook [-i /path/to/inventory]
/usr/share/ansible/openshift-ansible/playbooks/openshift-service-catalog/config.yml