注目★★★★★GitHub Advisory
Woodpecker に特権昇格の脆弱性、Kubernetes バックエンド利用時に任意 ServiceAccount で実行可能
30秒で把握
- 1Woodpecker Kubernetes バックエンド、ServiceAccountName の検証不足で特権昇格が可能に
- 2Push 権限ユーザが任意 ServiceAccount でポッドを実行・RBAC 権限奪取やクラスタ掌握のリスク
- 3修正パッチ確認後、直ちにアップグレード実施・困難な場合は Push アクセス制限と権限最小化で対応
要約
Woodpecker の Kubernetes バックエンド使用時に、パイプライン設定の `backend_options.kubernetes.serviceAccountName` がアドミン検証なく Pod に直接渡される特権昇格脆弱性が確認された。リポジトリへの Push 権限を持つユーザが、パイプラインを任意の ServiceAccount で実行でき、その RBAC 権限を奪取できる。クラスタ内に高権限 ServiceAccount があれば、データベース認証情報や API キーの流出、クラスタ全体の掌握につながる。修正パッチが公開されており、即座のアップグレードが推奨される。対応まで Push アクセス制限、名前空間の権限最小化、ServiceAccount トークン自動マウント無効化で緩和可能。
あなたへの影響
Woodpecker を Kubernetes 上で運用しているチームは。
推奨：まずアップグレード適否を確認し、即座の対応が難しい場合は Push アクセス制限と名前空間内 ServiceAccount の権限棚卸を今日中に実施すべき。