Tag: kubernetes

Mam wrażenie, że mało kto słyszał o open-source’owym projekcie secureCodeBox, spod znaku OWASP. W sumie to się nie dziwię, bo ja pierwszy raz usłyszałem o nim kilka miesięcy temu, kiedy aplikowałem na stanowisko związane z obszarem Application Security, które akurat miało w dodatkowych wymaganiach znajomość tego narzędzia. W rezultacie poznałem…

Słowo kontener w IT jednoznacznie kojarzy się z dockerem chociaż nie jest to jedyna technologia pozwalająca na opakowanie oprogramowania w paczkę, która zawiera niezbędne do uruchomienia środowisko (czyli zależności, biblioteki). Kontenery mogą korzystać np. z namespaces i cgroups, aby odizolować uruchamiane programy od siebie nawzajem. Współdzielenie kernela systemu bazowego powoduje,…

Warto zapisać w swoich zakładkach ten zasób, gdzie autor w dość rozbudowany sposób omawia projekt OWASP Kubernetes Top 10: Mamy tu przejście od tematów związanych z brakiem segmentacji na poziomie sieciowym, przez np. błędne zarządzanie sekretami aż po konkretne podatności – czy błędy konfiguracyjne – umożliwiające np. wyskakiwanie z kontenerów….

Niebanalny research tutaj. Pierwszym krokiem było zlokalizowanie podatności SQL injection (z poziomu zwykłego użytkownika cloudu IBMa): Ale w sumie co daje SQL injection, jak przecież wykupując swoją bazę danych w IBM cloud i tak mamy możliwość wykonywania dowolnych poleceń SQL-owych? Odpowiedź znajduje się powyżej. Zobaczcie że zdefiniowana przez IBM funkcja…

Podatność XML Bomb (aka Billion Laughs Attack) być może jest Wam znana. Taki prosty XML, powoduje powstanie w pamięci miliarda lolów: Ale może mniej osób zna odmianę tego problemu w YAML-u. W Kubernetesie (czy dokładniej oferowanym przez ten produkt API) zgłoszono właśnie podatność YAML Bomb: CVE-2019-11253 is a YAML parsing…

Kubernetes generalnie uznawany jest za rozwiązanie bezpieczne (więcej o samym rozwiązaniu, dostępnych komponentach – tutaj). Rzeczywiście, historycznie nie było tutaj jakiejś ogromnej liczby bugów. A tymczasem użytkownicy mogą przejąć kontrolę nad całym systemem: An API call to any aggregated API server endpoint can be escalated to perform any API request against that…