Data inicial de publicação: 19/07/2022 9:00 PST
Um pesquisador de segurança relatou recentemente um problema com o AWS IAM Authenticator para Kubernetes, usado pelo Amazon Elastic Kubernetes Service (EKS). O pesquisador identificou um problema de validação de parâmetro de consulta no plug-in do autenticador quando configurado para usar o parâmetro de modelo “AccessKeyID” nas strings de consulta. Esse problema poderia ter permitido que um invasor experiente escalasse privilégios em um cluster do Kubernetes. Os clientes que não usam o parâmetro “AccessKeyID” não são afetados por esse problema.
A partir de 28 de junho de 2022, todos os clusters do EKS em todo o mundo foram atualizados com uma nova versão do AWS IAM Authenticator para Kubernetes, contendo uma correção para esse problema. Os clientes que usam o AWS IAM Authenticator para Kubernetes no Amazon EKS não precisam realizar nenhuma ação para se proteger. Os clientes que hospedam e gerenciam seus próprios clusters Kubernetes e que usam o parâmetro de modelo "AccessKeyID" do plug-in do autenticador devem atualizar o AWS IAM Authenticator para Kubernetes para a versão 0.5.9.
Gostaríamos de agradecer à Lightspin por relatar esse problema.
Envie dúvidas ou preocupações relacionadas à segurança para aws-security@amazon.com.