注目★★★★★GitHub Advisory
Kubernetes vault-secrets-webhook に SSRF 脆弱性、ServiceAccount トークン窃取可能
30秒で把握
- 1vault-secrets-webhook が URL 検証なしで任意の外部アドレスへ HTTP 呼び出しを実行
- 2攻撃者は ConfigMap・Secret 経由で Vault サーバーアドレスを指定し cluster-wide の ServiceAccount トークンを窃取可能
- 3該当環境は緊急パッチ適用と権限・入力検証の再構築が必須
要約
Banzai Cloud の vault-secrets-webhook に、設定情報の検証不足に起因する SSRF（サーバーサイドリクエストフォージェリ）脆弱性が存在する。ConfigMap または Secret の `vault.security.banzaicloud.io/vault-addr` アノテーションを無検証で読み込み、攻撃者が指定した任意の URL へ webhook プロセスから同期的に HTTP 呼び出しを行う。webhook はクラスタ全体で `serviceaccounts/token:create` 権限を保持し、`vault-serviceaccount` アノテーションで指定された ServiceAccount の JWT トークンを exfiltrate される。ConfigMap や Secret 作成権限を持つ攻撃者は、webhook プロセスを悪用して任意の外部 URL への接続と ServiceAccount トークンの窃取が可能になる。
あなたへの影響
Vault 連携を使う Kubernetes 環境のチームは、当該 webhook を利用している場合、直ちにバージョン確認と緊急パッチ適用を実施する必要がある。
推奨：ConfigMap・Secret 作成権限を持つ ServiceAccount や開発者に対する権限の最小化と、webhook の呼び出し元レジストリ検証の再構築が急務。