【CVE-2024-9594】Kubernetes Image Builder v0.1.37以前に脆弱性、デフォルト認証情報によるルートアクセスが可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
Kubernetes Image Builder v0.1.37の脆弱性
Kubernetes Image Builder v0.1.37の脆弱性まとめ
デフォルト認証情報について
Kubernetes Image Builder v0.1.37の脆弱性に関する考察
参考サイト

記事の要約

Kubernetes Image Builder v0.1.37以前に脆弱性を発見
デフォルト認証情報が有効化され、ルートアクセスが可能に
v0.1.38で脆弱性が修正され、セキュリティが向上

Kubernetes Image Builder v0.1.37の脆弱性

Kubernetesは2024年10月15日、Image Builderのバージョン0.1.37以前に存在する重要な脆弱性【CVE-2024-9594】を公開した。Nutanix、OVA、QEMU、rawプロバイダーを使用したVMイメージのビルド時にデフォルトの認証情報が有効化され、ルートアクセスが可能になるという深刻な問題が発見されている。^[1]

この脆弱性は、イメージビルドプロセス中にVMに到達可能な攻撃者がルート権限を取得し、イメージを改変できる可能性があるという特徴を持つ。Image Builderプロジェクトで作成されたVMイメージを使用するKubernetesクラスターが影響を受け、イメージビルド時に攻撃者によって改変された場合、深刻なセキュリティリスクとなるだろう。

Kubernetesはこの問題に対応するため、バージョン0.1.38でデフォルトの認証情報を無効化する修正を実施している。CVSSスコアは6.3のMEDIUMと評価され、攻撃には高度な権限と特定の条件が必要とされるが、攻撃が成功した場合の影響は重大となる可能性がある。

Kubernetes Image Builder v0.1.37の脆弱性まとめ

項目	詳細
CVE番号	CVE-2024-9594
影響を受けるバージョン	v0.1.37以前
影響を受けるプロバイダー	Nutanix、OVA、QEMU、raw
CVSSスコア	6.3（MEDIUM）
修正バージョン	v0.1.38
報告者	Nicolai Rybnikar

デフォルト認証情報について

デフォルト認証情報とは、システムやアプリケーションにあらかじめ設定された初期状態のユーザー名とパスワードのことを指す。主な特徴として、以下のような点が挙げられる。

初期設定で容易にアクセスできる利便性がある
広く知られている可能性が高く、セキュリティリスクとなる
本番環境での使用は推奨されない

Kubernetes Image Builderの脆弱性では、イメージビルド時にデフォルト認証情報が有効化されたままになることが問題となっている。イメージビルド中にVMに到達可能な攻撃者がルート権限を取得できる可能性があり、イメージが改変されるリスクが存在するため、バージョン0.1.38では認証情報が無効化された。

Kubernetes Image Builder v0.1.37の脆弱性に関する考察

Kubernetes Image Builderの脆弱性は、コンテナイメージの構築プロセスにおける重要な課題を浮き彫りにしている。イメージビルド時のセキュリティ対策は従来から重要視されてきたが、デフォルト認証情報の管理という基本的な部分での脆弱性が発見されたことは、開発プロセス全体のセキュリティレビューの必要性を示唆している。更なる脆弱性が発見される可能性も否定できないだろう。

今後はイメージビルドプロセスの自動化と並行して、セキュリティチェックの強化が求められる。特にクラウドネイティブ環境での開発が一般化する中、イメージビルドツールのセキュリティ機能の拡充や、ビルド環境のアクセス制御の厳格化が重要な課題となるだろう。セキュリティベストプラクティスの遵守と定期的な監査の実施が不可欠である。

また、オープンソースコミュニティの役割も重要になってくる。脆弱性の早期発見と修正に向けて、コミュニティによるコードレビューや脆弱性報告の仕組みを強化することが望まれる。同時に、エンタープライズユーザーに対する明確なセキュリティガイドラインの提供も必要になってくるはずだ。