CVE-2019-9946
Publiée le 2019-04-02 · Dernière modification le 2026-06-17
Les clusters Kubernetes utilisant le plugin « portmap » du CNI 0.7.4 sont affectés par une mauvaise configuration du pare-feu qui donne la priorité à certaines règles réseau sur d'autres. Un attaquant non authentifié disposant d'un accès réseau peut exploiter cette faille pour contourner les restrictions de service prévues et envoyer du trafic directement vers le HostPort d'un conteneur. L'exécution de cette attaque est relativement simple, car elle ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Cloud Native Computing Foundation (CNCF) CNI (Container Networking Interface) 0.7.4 has a network firewall misconfiguration which affects Kubernetes. The CNI 'portmap' plugin, used to setup HostPorts for CNI, inserts rules at the front of the iptables nat chains; which take precedence over the KUBE- SERVICES chain. Because of this, the HostPort/portmap rule could match incoming traffic even if there were better fitting, more specific service definition rules like NodePorts later in the chain. The issue is fixed in CNI 0.7.5 and Kubernetes 1.11.9, 1.12.7, 1.13.5, and 1.14.0.