注目★★★★★GitHub Advisory
etcd の Watch API に認可回避脆弱性、単一キーのみ許可で全データ読取可能
30秒で把握
- 1etcd Watch API の RBAC 回避脆弱性、READ 権限ユーザーが許可外キー全体を監視可能
- 23.5.33/3.6.14/3.7.1 で修正・認証有効クラスタのみ影響・Range/Get は正常動作
- 3即刻バージョン更新と READ 権限監査実施・不要な権限は即時取消推奨
要約
etcd の Watch gRPC API に認可回避脆弱性が発見された。READ 権限が付与された単一キーに対し、`clientv3.WithFromKey()` を使った開き終わりの範囲監視により、許可されたキー以降の全キーについてのイベントを受け取ることができる。影響は認証有効なクラスタに限定されるが、RBAC 実装の不備により Range/Get/DeleteRange は正常に機能する中で Watch API のみが権限制御を迂回されている。
あなたへの影響
etcd を本番環境で認証有効化して運用するチームは、直ちに 3.5.33/3.6.14/3.7.1 への更新を実施し、READ 権限付与状況の監査を並行実施すべき。
推奨：特に単一キーのみに制限したはずの READ 権限が、Watch API 経由で暗黙的にワイルドカード読取に昇格する点に注意。