CNCF-Projekte mit höherer Sicherheit in der Lieferkette Kubernetes-Sicherheits­audits beendet und als Open-Source verfügbar

Anbieter zum Thema

DAXTEN GmbH

Data Center Group – Büro Köln

EPS Rechenzentrum Infrastruktur GmbH

Im Jahr 2018 hat die Cloud Native Computing Foundation (CNCF) damit begonnen, Sicherheitsaudits von Drittanbietern anzubieten und zu veröffentlichen, um die Sicherheitspraktiken im Ökosystem zu verbessern. Seitdem haben unter anderem die Projekte „Argo“, „Backstage“, „CoreDNS“, „CRI-O“, „Envoy“, „etcd“, Flux, „Kubeedge“, „Linkerd“, „Prometheus“ und „Spiffe/Spire“ die Sicherheitsprüfungen durchlaufen.

Heute stellt die CNCF die Ergebnisse des Kubernetes-Drittanbieter-Audits auf Basis der Version 1.24 vor, das von der CNCF gesponsert und im Sommer 2022 von der NCC Group mit Hilfe der Kubernetes SIG Security Third Party Audit Working Group erfolgt ist. Das Ziel war es, alle Probleme in der Projektarchitektur und der Codebasis zu identifizieren, die die Sicherheit der Kubernetes-Nutzer beeinträchtigen könnten.

Chris Aniszczyk, CTO der CNCF, erläutert: „Es ist von entscheidender Bedeutung, dass Open-Source-Projekte ein Höchstmaß an Sicherheitspraktiken einhalten, da der Schwerpunkt heutzutage auf Sicherheitsfragen in der Lieferkette liegt. Öffentliche Sicherheitsprüfungen wie diese sind ein idealer Weg, um den Prozess des Schwachstellen-Managements eines Projekts zu testen und, was noch wichtiger ist, um festzustellen, wie belastbar die Sicherheitspraktiken des Open-Source-Projekts sind.“

Ein Code-Verzeichnis von Abhängigkeiten

Was ist SBOM - Software Bill of Materials?

Supply-chain Levels for Software Artifacts: „Eine feine Sache“

Suse-CTO Gerald Pfeifer zur Absicherung von Softwarelieferketten

Die Audits gliedern sich in diverse Unterprojekte. Wie Rey Lejano, Leiter des SIG Security External Audit, erläutert, ist etwa das Unterprojekt „Kubernetes SIG Security External Audit“ für die Koordination von Sicherheitsprüfungen durch Dritte in Sachen Kubernetes verantwortlich. Das Unterprojekt hält sich an den Sicherheitsfreigabeprozess und die Embargopolitik. Die Prüfungsergebnisse werden vom „Kubernetes Security Response Committee“ vor der Veröffentlichung geprüft.

Der Umfang

Die Sicherheitsüberprüfung soll ein umfassendes Bild der Sicherheitslage von Kubernetes und seiner Quellcodebasis zeichnen und konzentriert sich speziell auf die folgenden Komponenten von Kubernetes:

• kube-apiserver

• kube-scheduler

• Kubernetes-Verwendung von etcd

• kube-controller-manager

• cloud-controller-manager

• kubelet

• kube-proxy

• Secrets-store-csi-drive

• Abdeckung aller Aspekte, die sich seit der letzten Prüfung von Kubernetes 1.13 geändert haben

Da Kubernetes auf Container-Laufzeiten wie Docker und CRI-O angewiesen ist, sind so genannte container escapes, die auf Fehlern in der Container-Laufzeit beruhen, nicht Gegenstand der Prüfung, es sei denn, ein solcher escape-Fall wird beispielsweise durch einen Fehler in der Art und Weise ermöglicht, wie Kubernetes den Container einrichtet.

Zuständig ist die NCC Group. Sie hat im Mai und Juni 2022 ein Sicherheitsaudit des Kubernetes-Projekts 1.24.0 gemacht. Das Projektteamhat auch tatsächlich Schwachstellen in Kubernetes-Komponenten gefunden und Empfehlungen zur Verbesserung der Sicherheit der Kubernetes-Architektur gegeben.

So hat sie eine Reihe von Bedenken hinsichtlich der administrativen Erfahrung in Bezug auf die Einschränkung von Benutzer- oder Netzwerkberechtigungen geäußert. Die gemeldeten Schwächen hätten zur Verwirrung bei den Administratoren oder zu mangelnder Klarheit über die für eine bestimmte Komponente verfügbaren Berechtigungen führen können.

• Festgestellt hat das Unternehmen zudem Schwachstellen in der Authentifizierung zwischen den Komponenten, die es einem entsprechend positionierten böswilligen Benutzer ermöglichen, die Berechtigungen zum Cluster-Administrator zu erweitern.

• Weitere Schwachstellen hat es in der Protokollierung und Prüfung gegeben, die von einem Angreifer nach der Kompromittierung hätten dazu missbraucht werden könnten, die Kontrolle über einen Cluster aufrechtzuerhalten oder zu verschleiern.

• Schließlich hat die NTT Group Schwachstellen bei der Bereinigung von Benutzereingaben gemeldet, die eine eingeschränkte Form der Umgehung der Authentifizierung ermöglichen, indem die an den etcd-Datenspeicher gestellten Anfragen verändert werden.

Darüber hinaus sind zwar noch zahlreiche andere Schwachstellen festgestellt worden, doch diese stellten jedoch nur ein begrenztes Risiko für die Benutzer, so die CNCF. Dies liege entweder daran, dass die Auswirkungen gering seien oder dass privilegierte Berechtigungen erforderlich wären, um die anfällige Funktionalität zu missbrauchen.

Die CNCF-Empfehlungen

Das Kubernetes-Projekt hat Anstrengungen unternommen, um die Sicherheit des Gesamtprojekts zu verbessern und empfiehlt daher:

• Wo eine relativ einfache Behebung möglich ist, zum Beispiel bei den identifizierten Fällen von nicht unbereinigten Benutzereingaben, sollten diese Probleme so schnell wie möglich im Code behoben werden.

• In den Fällen, in denen eine kompliziertere Behebungen erforderlich ist, kann es sinnvoller sein, die Kubernetes-Dokumentation zu aktualisieren, um die Benutzer über die identifizierten Risiken zu informieren, während längerfristige Behebungen durchgeführt werden.

Außerdem macht die Foundation darauf aufmerksam, dass eine Reihe von Feststellungen aus der vorherigen Prüfung von Kubernetes Version 1.13 noch offen oder nicht behoben sind.

(ID:49333518)