注目★★★★★GitHub Advisory
kcp v0.31.4／v0.32.2で認証回避を修正、即更新を
30秒で把握
- 1kcp front-proxy が X-Remote-* 偽装を許し system:masters 昇格を招く
- 2低権限の認証済み利用者が全ワークスペースの資源を操作可能
- 3v0.31.4 と v0.32.2 でヘッダー除去を実装し設定変更不要
要約
kcp front-proxy が受信した X-Remote-* ヘッダーを除去せず転送し、認証済みの低権限ユーザーが system:masters を注入できる脆弱性が判明した。攻撃者は通常の client certificate、OIDC token、service-account token だけで、全ワークスペースのリソース、Secret、RBAC、APIExports、APIBindings、LogicalClustersを読み書き削除できる。さらに warrant や scope を偽装し、ワークスペース境界と認可処理を回避できる。v0.31.4 と v0.32.2 で修正され、front-proxy と shard 内の local-proxy が受信した X-Remote-* を無条件に削除してから認証済みIDを付与する。完全な回避策はなく、更新後の設定変更は不要。
あなたへの影響
kcp を運用する日本のエンジニアは、近日中に v0.31.4 または v0.32.2 へ更新し、更新前は外部 proxy で X-Remote-User、X-Remote-Group、X-Remote-Extra-* を除去してください。
推奨：更新後も認証ログとワークスペース横断の操作履歴を確認し、侵害の有無を調査する必要があります。