SSRF endpoint artefak/log pod frontend Kubeflow Pipelines memungkinkan pemanggil yang tidak terautentikasi menjangkau host internal dan membocorkan pengenal access-key

Kubeflow Pipelines mempercayai metadata endpoint object-store yang dipasok penyerang di jalur unduhan artefak dan log pod, alih-alih memvalidasi terhadap konfigurasi penyimpanan yang dikendalikan operator. Dalam pengaturan standalone default yang otorisasinya dinonaktifkan, ini memungkinkan SSRF dari pod ml-pipeline-ui bersama ke layanan internal, dan dapat mengungkapkan pengenal access-key ketika permintaan ditandatangani dengan kredensial object-store yang dikonfigurasi.

Infrastruktur alur kerja ML sering di-deploy dengan pod UI bersama yang dipercaya untuk menjangkau layanan internal; SSRF ini dapat digunakan untuk pengintaian jaringan internal atau untuk bergerak menuju kredensial object-store, melemahkan isolasi antara UI pipeline dan platform ML lainnya.

Jalur unduhan artefak frontend untuk source=s3 atau source=minio menerima providerInfo.Params.endpoint, dan jalur log pod yang diarsipkan menerima metadata endpoint yang kompatibel dengan S3 dari status alur kerja, tanpa mensyaratkan endpoint tersebut cocok dengan konfigurasi penyimpanan yang dikendalikan operator. Pemanggil yang tidak terautentikasi dapat membuat pod ml-pipeline-ui bersama mengirim permintaan ke host yang dapat dijangkau arbitrer dan mengembalikan data respons; permintaan yang ditandatangani dapat mengungkapkan pengenal access-key.

Kubeflow Pipelines < 2.18.0

Tingkatkan ke Kubeflow Pipelines 2.18.0. Advisory: https://github.com/kubeflow/pipelines/security/advisories/GHSA-3pcj-8j5w-jmxq