Hashicorp Nomad iş yükü orkestratöründe, saldırganların Erişim Kontrol Listesi (ACL) ilke arama mekanizmasını kullanarak ayrıcalıkları artırmasına izin veren önemli bir güvenlik açığı.
CVE-2025-4922 olarak izlenen güvenlik açığı, Nomad’ın hem topluluk hem de kurumsal sürümlerini birden fazla versiyonda etkiler ve platformun güvenlik kontrollerine dayanan kuruluşlar için ciddi bir risk oluşturmaktadır.
Kusur, istenmeyen politika kuralı gölgelemesine yol açabilecek yanlış ön ek tabanlı ACL ilke aramalarından kaynaklanmakta ve kötü niyetli aktörlerin mevcut yüksek pratik iş yükleriyle eşleşen ön eklenmiş tanımlayıcılarla stratejik olarak yeni işleri adlandırarak ayrıcalıklı erişimi devralmasını sağlıyor.
.png
)
Göçebe ACL ayrıcalığına genel bakış
Bu güvenlik kusurunun çekirdeği, Nomad’ın ACL sistemi uygulamasında, özellikle de işleri ilgili güvenlik politikalarıyla ilişkilendirirken platformun politika aramalarını nasıl gerçekleştirdiğine bağlıdır.
Nomad’ın ACL sistemi, jetonların ince taneli erişim kurallarını ve izinleri tanımlayan politikalara bağlı olduğu yetenek tabanlı bir model üzerinde çalışır.
Bununla birlikte, savunmasız sürümler, politika ilişkilendirmelerini doğru bir şekilde doğrulamayan ve ayrıcalık yükseltme saldırıları için bir fırsat yaratan önek tabanlı bir arama mekanizması uygular.
Saldırı vektörü özellikle sadeliği ve istismar potansiyeli nedeniyle ilgilidir. Temel istihdam yaratma ayrıcalıklarına sahip bir saldırgan, mevcut bir yüksek iş için önek eşleşen stratejik olarak hazırlanmış bir adla yeni bir iş yaratarak bu güvenlik açığını kullanabilir.
Örneğin, “Test-Job” adlı ayrıcalıklı bir iş, yükseltilmiş ACL politikalarıyla mevcutsa, bir saldırgan “Test-Job-2” adlı yeni bir iş yaratabilir ve aynı ACL politikalarını açık bir yetkilendirme olmadan otomatik olarak devralabilir.
Bu önek eşleştirme davranışı, amaçlanan güvenlik kontrollerini atlar ve açık politika yapılandırması gerektiren hassas işlemlere yetkisiz erişim sağlar.
Bu güvenlik açığının teknik sonuçları, basit ayrıcalık artışının ötesine uzanmaktadır. Yanlış politika arama mekanizması, meşru güvenlik sınırlarının istenmeyen politika mirası nedeniyle etkisiz hale geldiği politika kuralını gölgelemeye neden olabilir.
Bu, katı erişim kontrollerini uygulamak için tasarlanan ACL sisteminin, koruyucu bir bariyerden ziyade ayrıcalık artışı için bir vektör haline geldiği bir senaryo oluşturur.
Güvenlik açığı, farklı ekiplerin veya uygulamaların aynı göçebe kümesini paylaştığı çok kiracılı ortamlarda özellikle tehlikelidir, çünkü hassas iş yüklerine artış ve yetkisiz erişim sağlayabilir.
| Risk faktörleri | Detaylar |
| Etkilenen ürünler | – Nomad Topluluğu Edition 1.4.0- 1.10.1 (1.10.2’de sabit)- Nomad Enterprise 1.4.0- 1.10.1, 1.9.9, 1.8.13 (1.10.2, 1.9.10, 1.8.14’te sabitlenmiş) |
| Darbe | ACL Politika Kuralı Gölgelendirme ve Yanlış Politika Mirası aracılığıyla ayrıcalık artışı |
| Önkoşuldan istismar | – İstihdam yaratma ayrıcalıklarıyla geçerli kullanıcı hesabı- önek eşleşmeye ACL politikası olan mevcut iş |
| CVSS 3.1 puanı | 7.8 (Yüksek) |
Etkilenen sistemler
Güvenlik açığı, hem topluluk hem de kurumsal baskılarda önemli bir göçebe konuşlandırma yelpazesini etkiler.
1.4.0 ila 1.10.1 arasındaki Nomad Community Edition sürümleri savunmasızdır, Nomad Enterprise 1.4.0’dan 1.10.1’e kadar etkilenir ve 1.9.9 ve 1.8.13 dahil ek özel savunmasız sürümlerle etkilenir.
Bu geniş sürüm aralığı, son birkaç büyük sürüm döngüsü içinde kurulan veya güncellenen göçebe dağıtımları yapan kuruluşların potansiyel olarak risk altında olduğunu göstermektedir.
Güvenlik sonuçları, NOMAD’ın erişim kontrolü ve ayrıcalık ayrımı için ACL sistemine büyük ölçüde dayanan kuruluşlar için özellikle şiddetlidir.
Farklı uygulamaların veya ekiplerin aynı göçebe kümesini paylaştığı ortamlarda, bu güvenlik açığı yanal hareketi ve hassas iş yüklerine yetkisiz erişim sağlayabilir.
ACL politikalarını uygun yetkilendirmeden miras alabilme, kuruluşların iş yüklerini izole etmek ve kritik altyapı bileşenlerine erişimi kontrol etmek için bağlı olan güvenlik modelini etkili bir şekilde bozar.
Bu ortamlarda ayrıcalık artış potansiyeli, kalıtsal politikaların kapsamına bağlı olarak hassas verilere, konfigürasyon değişikliklerine ve hatta tam küme uzlaşmasına yetkisiz erişime yol açabilir.
Hafifletme
Hashicorp, şirketin desteklenen ürün hatları arasında güvenliği koruma taahhüdünü göstererek, birden fazla göçebe sürümünde koordineli sürümler yoluyla bu güvenlik açığını ele almıştır.
Düzeltmeler Nomad Community Edition 1.10.2 ve Nomad Enterprise Sürümleri 1.10.2, 1.9.10 ve 1.8.14’te mevcuttur.
Kuruluşlar, özellikle çok kiracılı ortamlarda faaliyet gösteren veya hassas iş yüklerini ele alan bu yamalı sürümlere yükseltilmeye öncelik vermelidir.
İyileştirme süreci, mevcut iş yapılandırmalarının ve ACL politikalarının kapsamlı bir güvenlik değerlendirmesini içermelidir.
Kuruluşlar, önek eşleştirme kırılganlığının yanlışlıkla sömürülebileceği durumları belirlemek için mevcut iş adlandırma sözleşmelerini ve politika ödevlerini denetlemelidir.
Bu inceleme, yamalanmadan önce yetkisiz ayrıcalık artışının gerçekleşmemesini sağlamak için tüm aktif işleri ve bunlarla ilişkili ACL politikalarını kapsamalıdır.
Ek güvenlik, potansiyel önek çatışmalarını önleyen, düzenli ACL politika denetimlerinin uygulanmasını ve iş yaratma ayrıcalıklarını yalnızca güvenilir kullanıcılarla sınırlayan daha ayrıntılı erişim kontrollerinin benimsenmesini göz önünde bulunduran katı iş adlandırma kurallarının oluşturulmasını içerir.
Herhangi biriyle tehdit tepkisini otomatikleştirin. -> Tam erişim isteyin