CVE-2022-37968: Privilegio Elevado en Azure Arc Kubernetes
Plataforma
kubernetes
Componente
azure-arc-enabled-kubernetes-cluster-connect
Corregido en
2.2.2088.5593
La vulnerabilidad CVE-2022-37968 es una falla de elevación de privilegios que afecta a la característica 'cluster connect' de los clústeres de Kubernetes habilitados para Azure Arc. Un atacante no autenticado podría explotar esta vulnerabilidad para obtener control administrativo sobre el clúster, comprometiendo la seguridad de las aplicaciones y datos alojados. Esta vulnerabilidad afecta a versiones de 1.0.0 hasta 2.2.2088.5593, incluyendo dispositivos Azure Stack Edge. Microsoft ha publicado una corrección en la versión 2.2.2088.5593.
Impacto y Escenarios de Ataque
La explotación exitosa de CVE-2022-37968 permite a un atacante no autenticado obtener control administrativo completo sobre el clúster de Kubernetes. Esto significa que el atacante puede crear, modificar o eliminar recursos, acceder a datos confidenciales, y potencialmente comprometer otros sistemas conectados al clúster. El impacto es particularmente grave en entornos que utilizan Azure Stack Edge, ya que la vulnerabilidad permite el control sobre los dispositivos Edge, lo que podría resultar en la exfiltración de datos sensibles o la interrupción de servicios críticos. La falta de autenticación necesaria para la explotación amplía significativamente el radio de explosión, ya que cualquier usuario externo puede intentar explotar la vulnerabilidad. Esta vulnerabilidad presenta un riesgo similar a otras fallas de elevación de privilegios en entornos de orquestación de contenedores, donde el control administrativo otorga acceso a una amplia gama de recursos.
Contexto de Explotación
CVE-2022-37968 ha sido clasificada como crítica debido a su facilidad de explotación y el alto impacto potencial. Aunque no se encuentra en el KEV (Kernel Exploit Vulnerability) catalog, su CVSS score de 10 indica una alta probabilidad de explotación. Actualmente no se conocen públicamente pruebas de concepto (PoCs) activas, pero la naturaleza de la vulnerabilidad sugiere que podrían desarrollarse rápidamente. Microsoft publicó la alerta de seguridad el 11 de octubre de 2022, lo que indica que la vulnerabilidad fue descubierta recientemente y podría estar siendo explorada en secreto.
Inteligencia de Amenazas
Estado del Exploit
EPSS
3.68% (88% percentil)
Vector CVSS
¿Qué significan estas métricas?
- Attack Vector
- Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
- Attack Complexity
- Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
- Privileges Required
- Ninguno — sin autenticación. No se necesitan credenciales para explotar.
- User Interaction
- Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
- Scope
- Cambiado — el ataque puede pivotar a otros sistemas más allá del componente vulnerable.
- Confidentiality
- Alto — pérdida total de confidencialidad. El atacante puede leer todos los datos.
- Integrity
- Alto — el atacante puede escribir, modificar o eliminar cualquier dato.
- Availability
- Alto — caída completa o agotamiento de recursos. Denegación de servicio total.
Software Afectado
Cronología
- Reservado
- Publicada
- Modificada
- EPSS actualizado
Mitigación y Workarounds
La mitigación principal para CVE-2022-37968 es actualizar a la versión 2.2.2088.5593 o superior de Azure Arc-enabled Kubernetes cluster Connect. Si la actualización causa problemas de compatibilidad, considere una reversión temporal a una versión anterior conocida como estable, mientras se evalúa la compatibilidad de la nueva versión. Como medida adicional, revise las reglas del firewall para restringir el acceso a la API de cluster connect solo a fuentes confiables. Implemente el principio de mínimo privilegio para las cuentas de servicio dentro del clúster, limitando sus permisos al mínimo necesario para realizar sus tareas. Después de la actualización, confirme la mitigación verificando que la característica 'cluster connect' esté funcionando correctamente y que los permisos de usuario estén configurados según lo esperado.
Cómo corregirlotraduciendo…
Actualice su clúster de Kubernetes habilitado para Azure Arc a la versión 1.8.11 o superior, o a la versión 1.5.8, 1.6.19, 1.7.18 o 2.2.2088.5593 según corresponda. Esto solucionará la vulnerabilidad de elevación de privilegios en la función de conexión del clúster.
Preguntas frecuentes
What is CVE-2022-37968 — Privilege Escalation in Azure Arc Kubernetes?
CVE-2022-37968 es una vulnerabilidad de elevación de privilegios en Azure Arc-enabled Kubernetes clusters que permite a un atacante no autenticado obtener control administrativo. Afecta a versiones 1.0.0–2.2.2088.5593.
Am I affected by CVE-2022-37968 in Azure Arc Kubernetes?
Sí, si está utilizando Azure Arc-enabled Kubernetes cluster Connect en las versiones 1.0.0 hasta 2.2.2088.5593, es vulnerable a esta falla.
How do I fix CVE-2022-37968 in Azure Arc Kubernetes?
Actualice a la versión 2.2.2088.5593 o superior de Azure Arc-enabled Kubernetes cluster Connect. Considere una reversión temporal si la actualización causa problemas de compatibilidad.
Is CVE-2022-37968 being actively exploited?
Aunque no se conocen PoCs activas, la alta puntuación CVSS sugiere una alta probabilidad de explotación y podría estar siendo explorada en secreto.
Where can I find the official Azure advisory for CVE-2022-37968?
Consulte el aviso de seguridad de Microsoft: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-37968
¿Tu proyecto está afectado?
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Pruébalo ahora — sin cuenta
Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.
Arrastra y suelta tu archivo de dependencias
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...