Контроллер уведомлений Flux — это переадресатор событий и диспетчер уведомлений для контроллеров GitOps Toolkit. До версии 1.8.3 тип получателя gcr в контроллере уведомлений Flux не проверяет утверждение электронной почты о токенах Google OIDC, используемых для push-аутентификации Pub/Sub. Это позволяет любому действительному токену, выпущенному Google, аутентифицироваться на конечной точке веб-перехватчика получателя, запуская несанкционированную сверку Flux.
Для использования злоумышленник должен знать URL-адрес веб-перехватчика получателя. Путь веб-перехватчика генерируется как /hook/sha256sum(token+name+namespace), где токен представляет собой случайную строку, хранящуюся в секрете Kubernetes. Не существует API или конечной точки, которая перечисляет URL-адреса веб-перехватчиков.
Злоумышленник не может обнаружить путь, не имея доступа к кластеру и разрешений на чтение .status.webhookPath Получателя в целевом пространстве имен или не получив URL-адрес другими способами (например, утечкой секретов или доступом к конфигурации Pub/Sub). После успешной аутентификации контроллер запускает согласование всех ресурсов, перечисленных в .spec.resources получателя. Однако практическое влияние ограничено: согласование Flux является идемпотентным, поэтому, если желаемое состояние в настроенных источниках (Git, OCI, Helm) не изменилось, согласование приводит к остановке работы и не влияет на состояние кластера.
Кроме того, контроллеры Flux выполняют дедупликацию запросов на сверку: отправка большого количества запросов за короткий период приводит к обработке только одной сверки. Эта уязвимость исправлена в версии 1.8.3.
Показать оригинальное описание (EN)
Flux notification-controller is the event forwarder and notification dispatcher for the GitOps Toolkit controllers. Prior to 1.8.3, the gcr Receiver type in Flux notification-controller does not validate the email claim of Google OIDC tokens used for Pub/Sub push authentication. This allows any valid Google-issued token, to authenticate against the Receiver webhook endpoint, triggering unauthorized Flux reconciliations. Exploitation requires the attacker to know the Receiver's webhook URL. The webhook path is generated as /hook/sha256sum(token+name+namespace), where the token is a random string stored in a Kubernetes Secret. There is no API or endpoint that enumerates webhook URLs. An attacker cannot discover the path without either having access to the cluster and permissions to read the Receiver's .status.webhookPath in the target namespace, or obtaining the URL through other means (e.g. leaked secrets or access to Pub/Sub config). Upon successful authentication, the controller triggers a reconciliation for all resources listed in the Receiver's .spec.resources. However, the practical impact is limited: Flux reconciliation is idempotent, so if the desired state in the configured sources (Git, OCI, Helm) has not changed, the reconciliation results in a no-op with no effect on cluster state. Additionally, Flux controllers deduplicate reconciliation requests, sending many requests in a short period results in only a single reconciliation being processed. This vulnerability is fixed in 1.8.3.
Характеристики атаки
Последствия
Строка CVSS v3.1