Descripción
OpsTree BuildPiper anterior a 2.7.0 contiene una vulnerabilidad de autorización incorrecta que permite a usuarios autenticados con permisos de despliegue definir volúmenes hostPath arbitrarios de Kubernetes sin listas de permitidos ni verificaciones de políticas. Los atacantes pueden establecer la ruta del host en / en la configuración Define HostPath Volume para montar el sistema de archivos raíz del nodo de trabajo con permisos de lectura y escritura, lo que rompe el aislamiento del contenedor y posibilita el compromiso del nodo y del clúster.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- BuildPiper Afectadas: anteriores a 2.7.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Exploit publicadogist.github.com/neelkotnis/b8c1cf47f829c28086fe78d8187eb938
- Referencia en buildpiper.iobuildpiper.io/
- Aviso de vulncheck.comvulncheck.com/advisories/opstree-buildpiper-before-2.7.0-container-es…
Ver el texto original en inglés (CVE.org)
OpsTree BuildPiper before 2.7.0 Container Escape via Unrestricted HostPath Volumes
OpsTree BuildPiper before 2.7.0 contains an improper authorization vulnerability that allows authenticated deploy users to define arbitrary Kubernetes hostPath volumes without allow-list or policy checks. Attackers can set the host path to / in the Define HostPath Volume configuration to mount the worker node root filesystem read-write, breaking container isolation and enabling node and cluster compromise.