注目★★★★★GitHub Advisory
etcd の Watch API に認可回避脆弱性、単一キーのみ許可で全データ読取可能
30秒で把握
- 1etcd Watch API の RBAC 回避脆弱性、READ 権限ユーザーが許可外キー全体を監視可能
- 23.5.33/3.6.14/3.7.1 で修正・認証有効クラスタのみ影響・Range/Get は正常動作
- 3即刻バージョン更新と READ 権限監査実施・不要な権限は即時取消推奨
要約
etcd の Watch gRPC API に認可回避脆弱性が発見された。READ 権限が付与された単一キーに対し、`clientv3.WithFromKey()` を使った開き終わりの範囲監視により、許可されたキー以降の全キーについてのイベントを受け取ることができる。影響は認証有効なクラスタに限定されるが、RBAC 実装の不備により Range/Get/DeleteRange は正常に機能する中で Watch API のみが権限制御を迂回されている。
あなたへの影響
この記事が日本のエンジニアに与える影響と、今日取るべきアクションは、Personal会員向けに掲載しています。
クレカ不要・いつでも解約