30秒で判断
- 対応すべき人: hosted control planes（HyperShift 等）で Konnectivity proxy-server を利用しているクラスタ管理者
- 対応不要な人: hosted control planes を利用していない / Konnectivity のエージェント向けエンドポイントが信頼ネットワークに限定されている環境
- 確認方法: Konnectivity proxy-server の設定で
--cluster-ca-certやトークンベースのエージェント認証が有効か確認する
概要
hosted control planes 向けの Konnectivity proxy-server の設定に不備があり、エージェント向けのリスナーが --cluster-ca-cert なし（かつトークンベースのエージェント認証なし）で起動されるため、クライアント証明書が検証されない状態になります。
Konnectivity のクラスタエンドポイントに到達できるリモートの攻撃者は、未認証のエージェントとして接続してルーティングプールに参加でき、コントロールプレーンとノード間のトラフィックをプロキシ・傍受・改ざん・遮断できる可能性があります。マネージドKubernetesの通信経路の信頼性を損なう深刻な問題です。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 9.4 |
| 深刻度 | Critical |
| CWE | CWE-306（重要機能に対する認証の欠如） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Konnectivity proxy-server（hosted control planes） | Kubernetes / Red Hat | RHSA記載の該当バージョン |
修正バージョンと回避策
- Red Hat提供のRHSA（エラータ）に従い、修正済みバージョンへアップデートしてください。
- 修正では、エージェント向けリスナーでクライアント証明書検証（またはトークン認証）が有効化されます。
- 恒久対応までは、Konnectivity のエージェント向けエンドポイントへの到達経路を信頼できるネットワークに限定することを推奨します。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。