Microsoft warnt vor Sicherheitsrisiken durch Standard-Helm-Charts in Kubernetes

REDMOND / MÜNCHEN (IT BOLTWISE) – Microsoft hat eine Warnung ausgesprochen, dass die Verwendung von vorgefertigten Vorlagen wie Standard-Helm-Charts bei Kubernetes-Deployments zu Fehlkonfigurationen führen und wertvolle Daten gefährden könnte.

Microsoft hat kürzlich darauf hingewiesen, dass die Nutzung von vorgefertigten Vorlagen, wie den Standard-Helm-Charts, bei der Implementierung von Kubernetes-Anwendungen erhebliche Sicherheitsrisiken bergen kann. Diese ‘Plug-and-Play’-Optionen vereinfachen zwar den Einrichtungsprozess erheblich, doch oft wird dabei die Benutzerfreundlichkeit über die Sicherheit gestellt. Dies führt dazu, dass viele Anwendungen in einem standardmäßig fehlerhaft konfigurierten Zustand bereitgestellt werden, wodurch sensible Daten, Cloud-Ressourcen oder sogar die gesamte Umgebung für Angreifer offenliegen.

Helm ist ein Paketmanager für Kubernetes, der es Entwicklern ermöglicht, Anwendungen und Dienste in Kubernetes-Clustern zu paketieren, zu konfigurieren und bereitzustellen. Diese Anwendungen werden in einem Helm-Paketformat namens Charts strukturiert, das YAML-Manifeste und Vorlagen enthält, um die notwendigen Kubernetes-Ressourcen und Konfigurationen zu beschreiben. Microsoft hebt hervor, dass Open-Source-Projekte oft Standard-Manifeste oder vordefinierte Helm-Charts enthalten, die die Benutzerfreundlichkeit über die Sicherheit stellen. Dies führt zu zwei Hauptproblemen: Dienste werden extern ohne angemessene Netzwerkeinschränkungen exponiert und es fehlt an ausreichender integrierter Authentifizierung oder Autorisierung.

Organisationen, die diese Projekte nutzen, ohne die YAML-Manifeste und Helm-Charts zu überprüfen, laufen Gefahr, ihre Anwendungen unabsichtlich Angreifern auszusetzen. Dies kann schwerwiegende Folgen haben, insbesondere wenn die bereitgestellte Anwendung den Zugriff auf sensible APIs ermöglicht oder administrative Aktionen erlaubt. Zu den identifizierten Projekten, die Kubernetes-Umgebungen einem Angriffsrisiko aussetzen könnten, gehören Apache Pinot, das die Hauptkomponenten des OLAP-Datenspeichers ohne Authentifizierung über Kubernetes LoadBalancer-Dienste ins Internet stellt, und Meshery, das die Benutzeroberfläche über eine externe IP-Adresse zugänglich macht.

Um die mit solchen Fehlkonfigurationen verbundenen Risiken zu mindern, wird empfohlen, diese gemäß den Sicherheitsbest Practices zu überprüfen und anzupassen, öffentlich zugängliche Schnittstellen regelmäßig zu scannen und laufende Container auf bösartige und verdächtige Aktivitäten zu überwachen. Viele in der Praxis beobachtete Ausnutzungen containerisierter Anwendungen resultieren aus fehlerhaft konfigurierten Workloads, oft bei Verwendung von Standardeinstellungen. Die Abhängigkeit von ‘Standardkonfigurationen aus Bequemlichkeit’ stellt ein erhebliches Sicherheitsrisiko dar.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!