⁣💾 Rancher: problemi con l’archiviazione di dati sensibili

Una versione aggiornata di Rancher, uno strumento di gestione Kubernetes open source, ha archiviato valori sensibili in testo normale.

Lo sfruttamento di questa situazione avrebbe potuto consentire agli aggressori di ottenere un accesso privilegiato a vari oggetti Kubernetes di proprietà di Rancher.

Rancher, che è stato acquisito dal fornitore di software tedesco SUSE nel 2020, è popolare tra le comunità DevOps e Kubernetes.

La piattaforma consente agli sviluppatori di distribuire ed eseguire cluster di container Kubernetes da diversi provider. Aggiunge inoltre valore centralizzando l'autenticazione e il controllo dell'accesso basato sui ruoli ai cluster, consentendo agli amministratori di controllare l'accesso ai cluster da un'unica posizione.

Il bug è stato segnalato dall'ingegnere di sistema Linux Marco Stuurman e dallo sviluppatore Florian Struck. Stuurman è incappato nel difetto mentre indagava sui token di servizio di Rancher.

Secondo i risultati di Stuurman, Rancher ha archiviato campi sensibili come password, chiavi API e token dell'account in testo in chiaro non crittografato direttamente sugli oggetti Kubernetes.

Secondo la segnalazione di bug , i dati in chiaro sarebbero disponibili a chiunque abbia accesso a determinati oggetti Kubernetes di proprietà di Rancher.