Erstveröffentlichung: 11.07.2022 9:00 PST
Ein Sicherheitsforscher meldete kürzlich ein Problem mit dem AWS IAM Authenticator für Kubernetes, der vom Amazon Elastic Kubernetes Service (EKS) eingesetzt wird. Der Forscher hat ein Problem bei der Validierung von Abfrageparametern innerhalb des Authenticator-Plugins festgestellt, wenn es so konfiguriert ist, dass der Vorlagenparameter „AccessKeyID“ in Abfragezeichenfolgen verwendet wird. Aufgrund dieser Schwachstelle hätte ein versierter Angreifer Berechtigungen innerhalb eines Kubernetes-Clusters erweitern können. Kunden, die den Parameter „AccessKeyID“ nicht nutzen, sind von diesem Problem nicht betroffen.
Zum 28. Juni 2022 wurden alle EKS-Cluster weltweit auf eine neue Version des AWS IAM Authenticator für Kubernetes aktualisiert, die einen Fix für dieses Problem enthält. Kunden, die den AWS IAM Authenticator für Kubernetes in Amazon EKS einsetzen, müssen keine Maßnahmen zu ihrem Schutz ergreifen. Kunden, die ihre eigenen Kubernetes-Cluster hosten und verwalten und den Vorlagenparameter „AccessKeyID“ des Authenticator-Plugins verwenden, sollten den AWS IAM Authenticator für Kubernetes auf Version 0.5.9 aktualisieren.
Wir möchten uns bei Lightspin für die Meldung dieses Problems bedanken.
Bei Fragen zur Sicherheit oder diesbezüglichen Bedenken schreiben Sie uns an: aws-security@amazon.com.