⬇ Scarica il santino: ·
Beato WireServing, che interrogò il filo di Azure
Patrono dei cluster Kubernetes su Azure, dei metadati interni e dei pod che chiacchierano con chi non dovrebbero.
Vita
Il 19 agosto 2024 Mandiant descrisse una scalata di privilegi nei cluster AKS configurati con la rete Azure CNI. Da un semplice pod, senza essere root, si potevano interrogare WireServer e HostGAPlugin, endpoint interni e non documentati di Azure, per recuperare lo script di provisioning del nodo. Dentro c'erano le credenziali di bootstrap TLS, e con quelle si leggevano i segreti di tutti i carichi del cluster.
Preghiera
O Beato WireServing, che tiri il filo nascosto del nodo, fa' che i nostri pod parlino solo con i servizi che gli servono davvero. Amen.
Come si festeggia
Si festeggia applicando NetworkPolicy che blocchino l'accesso a 168.63.129.16, a 169.254.0.0/16 e agli endpoint che nessuno dovrebbe chiamare.
Il filo che pende, qualcuno lo tira.