حذرت Microsoft من أن استخدام القوالب الجاهزة، مثل مخططات Helm الافتراضية، أثناء نشر تطبيقات Kubernetes قد يؤدي إلى إعدادات خاطئة تعرض البيانات الحساسة للتسرب.
وأكد الباحثان مايكل كاتشينسكي ويوسي وايزمان من فريق Microsoft Defender for Cloud Research:
“على الرغم من أن هذه الخيارات الجاهزة تُسهل عملية النشر، إلا أنها غالبًا ما تُفضل السهولة على الأمان. نتيجةً لذلك، يتم نشر عدد كبير من التطبيقات بإعدادات غير آمنة بشكل افتراضي، مما يعرض البيانات الحساسة أو الموارد السحابية أو حتى البيئة بالكامل للمهاجمين.”
ما هي مخططات Helm؟
Helm هو مدير حزم لـ Kubernetes يُساعد المطورين في تجهيز وتكوين ونشر التطبيقات والخدمات على مجموعات Kubernetes. وهو جزء من مؤسسة الحوسبة السحابية المفتوحة المصدر (CNCF).
تُبنى حزم تطبيقات Kubernetes باستخدام تنسيق Helm Charts، وهي ملفات YAML تُستخدم لوصف موارد Kubernetes والإعدادات المطلوبة لنشر التطبيق.
المشكلات الأمنية في القوالب الافتراضية
أشارت Microsoft إلى أن المشاريع مفتوحة المصدر غالبًا ما تتضمن:
-
تعريض الخدمات للإنترنت دون قيود شبكية كافية.
-
غياب مصادقة أو تفويض قوي بشكل افتراضي.
مما يعني أن المؤسسات التي تستخدم هذه المشاريع دون مراجعة ملفات YAML ومخططات Helm قد تعرض تطبيقاتها للاختراق دون قصد، خاصةً إذا كانت هذه التطبيقات تتيح:
-
الوصول إلى واجهات برمجة التطبيقات (APIs) الحساسة.
-
تنفيذ إجراءات إدارية خطيرة.
أبرز المشاريع المعرّضة للخطر
حددت Microsoft بعض المشاريع التي قد تُعرض بيئات Kubernetes للهجمات، مثل:
1. Apache Pinot
-
يُعرض مكونات OLAP (مثل pinot-controller وpinot-broker) للإنترنت عبر خدمات Kubernetes LoadBalancer دون أي مصادقة افتراضية.
2. Meshery
-
يُعرض واجهة التطبيق عبر عنوان IP خارجي، مما يسمح لأي شخص بالتسجيل كـمستخدم جديد، والوصول إلى الواجهة، ونشر Pods جديدة، مما قد يؤدي إلى تنفيذ أكواد خبيثة.
3. Selenium Grid
-
يُعرض خدمة NodePort على منفذ معين عبر جميع العقد في مجموعة Kubernetes، مما يجعل جدار الحماية الخارجي هو خط الدفاع الوحيد.
كيف تقلل من المخاطر؟
للحد من هذه الثغرات، يُنصح بـ:
✔ مراجعة وتعديل مخططات Helm وفقًا لأفضل ممارسات الأمان.
✔ فحص الواجهات المعرّضة للإنترنت بشكل دوري.
✔ مراقبة الحاويات بحثًا عن أنشطة مشبوهة.
وحذر الباحثون:
“العديد من عمليات استغلال التطبيقات المعتمدة على الحاويات تنشأ من أعباء عمل مُهيأة بشكل خاطئ، خاصةً عند استخدام الإعدادات الافتراضية. الاعتماد على الإعدادات الجاهزة يُشكل خطرًا أمنيًا كبيرًا.”
.
