Kubeflow Pipelines'ta Yetkilendirme Açığı: Pod Logları Sızıyor

Kubeflow Pipelines'ın 2.18.0 sürümünden önceki versiyonlarında ciddi bir yetkilendirme açığı var. Sorun, run log streaming endpoint'inde gizli bir deputy vulnerability ile birleşerek ortaya çıkıyor.

Açığın özü şu: GET /apis/v1alpha1/runs/{run_id}/nodes/{node_id}/log endpoint'i gelen istek başlıklarını gRPC metadata'sına aktarmıyor ve çağıranın istenen run'a karşı yetkilendirmesini kontrol etmiyor. Daha da kötüsü, node_id parametresi doğrudan Kubernetes pod adı olarak kabul ediliyor, sistemin pod'un belirtilen pipeline run'ına ait olup olmadığını doğrulaması yok.

Bu demek oluyor ki, API sunucusuna ağ erişimi olan ve geçerli bir run ID'si bilen bir saldırgan, run'ın Kubernetes namespace'indeki herhangi bir pod'un canlı ya da arşivlenmiş execution loglarını okuyabilir. Özellikle multi-tenant ortamlarda tehlikeli: bir tenant'ın logları başka bir tenant tarafından okunabilir.

CVSS puanı 7.5 (yüksek) olarak değerlendirilmiş. Eğer Kubeflow Pipelines kullanıyorsan, 2.18.0 veya sonrasına güncellemeyi hemen planla. Arası sürümlerde bu endpoint'e ağ erişimini kısıtlamak da geçici bir çözüm olabilir.

Tam detaylar için CVE raporunu oku.