ההבדל בין החולשה הזאת לשאר מה שתוקן באותו מוצר הוא מי התוקף. לפי הרשומה אין כאן צורך בגישה אנונימית: מספיק חשבון עם הרשאות נמוכות מרחוק, ומשם ההסלמה מגיעה עד הרשאות root על צמתי האשכול. הציון הוא 9.9 מתוך 10, והטווח שברשומה הוא כל הגרסאות שלפני 1.18.0.

מה החולשה?

ב-Kubernetes מתארים את מה שרוצים שיקרה במקום לבצע אותו שלב שלב. רכיב שתפקידו לקרוא את התיאור הזה ולדאוג שהמציאות תתאים לו נקרא Operator, והלולאה שמשווה בין הרצוי למצוי ומגשרת ביניהם נקראת reconciler. ה-Operator של Dell CSM עושה את זה עבור סוג משאב בשם ContainerStorageModule, כלומר ההגדרה שאומרת איזה רכיבי אחסון צריכים לרוץ באשכול וכיצד.

כדי להתקין רכיבי אחסון על הצמתים, רכיב כזה חייב הרשאות גבוהות משל עצמו. זה מובן ואין בו חולשה. החולשה, לפי הרשומה, היא בכך שה-reconciler של המשאב ההוא אינו מגביל כראוי מה אפשר להוציא ממנו: מי שיכול להשפיע על מה שה-reconciler מעבד מצליח לגרור אותו לפעול בהרשאות שלו עבור מטרות שאינן שלו. הסיווג הוא CWE-269, ניהול לקוי של הרשאות.

התוצאה שהרשומה נוקבת בה היא הרשאות root על צמתי האשכול. צומת הוא מכונה שמריצה את המכולות, ו-root עליה הוא הסוף של הדיון לגבי כל מה שרץ עליה: היישומים, הסודות שהם טוענים והתעבורה שעוברת דרכם.

הדירוג מראה את זה בשתי נקודות. האחת היא PR:L, כלומר נדרשות הרשאות, אך נמוכות. האחרת היא S:C, סימון שהנזק אינו נשאר ברכיב שבו נמצאה החולשה אלא עובר למערכות אחרות, וכאן אלה הצמתים עצמם. זה גם מה שמחזיק את הציון 9.9 ולא פחות מזה.

מי מושפע?

הרשומה מונה את Dell Container Storage Modules Operator בכל גרסה שלפני 1.18.0.

מכיוון שנדרש חשבון, התרחיש המעשי שונה ממה שקורה בחולשה שפתוחה לכל אחד. מי שצריך לדאוג הוא ארגון שבאשכול שלו יש הרבה בעלי חשבון: מפתחים עם הרשאות ברמת מרחב שמות משלהם, צוותים שחולקים אשכול אחד, מערכות בנייה והטמעה שמחזיקות פרטי אימות אל האשכול, וספקים חיצוניים שקיבלו גישה מוגבלת. בכל אחד מהמקרים האלה קיים מי שעומד בתנאי הפתיחה שהרשומה מתארת.

בישראל זה עולם החברות הגדולות, הגופים הציבוריים ומי שבנה אשכול Kubernetes על חומרה ואחסון משלו במקום בענן ציבורי. לגולש אין כאן מה לעשות, אך הנתונים שיושבים על אותו אחסון הם לא פעם נתונים של לקוחות.

האם מנוצלת בפועל?

אין דיווח על ניצול בשטח. החולשה אינה נמצאת בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמנהל את רשימת החולשות שיש ידיעה על ניצולן בידי תוקפים, וזה המצב נכון לעדכון האחרון של הדף.

מה שכן, שווה לקרוא בזהירות את מה שהרשומה אומרת על תוקף מרוחק. חשבון בהרשאות נמוכות באשכול אינו בדרך כלל דבר שמגיעים אליו מהאינטרנט, אלא דבר שכבר יש למי שנמצא בפנים. כלומר זאת חולשה שמשנה את גודל הנזק של דריסת רגל קיימת יותר משהיא פותחת דלת חדשה מבחוץ.

מה עושים?

1. בררו איזו גרסה של ה-Operator רצה באשכול. היא מופיעה בתגית התמונה של ה-Operator ובהגדרות ה-Helm שדרכן הותקן.
2. עדכנו ל-1.18.0 ומעלה, הגרסה הראשונה שמחוץ לטווח שברשומה. הפרטים נמצאים בהודעת האבטחה DSA-2026-448 של Dell.
3. עד שתעדכנו, עברו על מי שיכול לגעת במשאבי ContainerStorageModule. תנאי הפתיחה הוא הרשאות נמוכות, ולכן השאלה המעשית היא מי באשכול יכול ליצור או לשנות את המשאב הזה, וצמצום הרשימה הזאת הוא ההגנה הזמנית.
4. אחרי העדכון, הסתכלו אחורה על הצמתים. חולשת הסלמה אינה מותירה סימן בפרטי האימות של האחסון אלא במה שרץ על המכונה, ולכן מה שכדאי לחפש ביומנים הוא מכולות שהורצו בהרשאות גבוהות או עם עיגון אל מערכת הקבצים של הצומת, במקומות שלא מצפים לראות אותן.