Snyk KubernetesインテグレーションでAPI認証の脆弱性を発見（CVE-2023-1065）

Snyk ContainerのKubernetes Monitorインテグレーションにおいて、API認証に関する脆弱性への対応として重要な変更を実施しましたので、Snykをご利用のお客様にお知らせします。現在、KubernetesインテグレーションはSnykのEnterpriseプランでのみご利用いただけます。影響を受けるのは、Snyk Kubernetes Monitorを導入しているEnterpriseのお客様のみです。

CVE-2023-1065

CVE-2023-1065は中程度の深刻度の脆弱性です。インテグレーションの利用者に直接的なセキュリティリスクをもたらすことはなく、ユーザーデータが漏えいする可能性もありませんが、無関係なデータがSnyk組織に投稿され、ほかの重要なセキュリティ問題が見えにくくなるおそれがありました。

脆弱性のあるAPIエンドポイントの詳細と、インテグレーションのアップグレード方法については、以下をご覧ください。

CVE-2023-1065：Snyk Kubernetes Monitorの認証に関する脆弱性

Snyk Kubernetes Monitorは、Kubernetesクラスターで稼働するコンテナを自動的に特定、インポート、スキャンできるようにするものです。そのために、ユーザーはSnyk Controllerをデプロイし、Snyk Integration IDを取得して、データをSnyk Platformに送信します。今回の脆弱性は、このPOST APIエンドポイントに影響します。このエンドポイントはIntegration IDを使用して、スキャン結果をユーザーのSnyk組織に振り分けます。

アップグレードして安全を確保する方法

SnykはKubernetes Monitorの認証をより堅牢な方式に更新しました。この更新版をKubernetesクラスターにデプロイする必要があります。このインテグレーションをご利用の場合は、できるだけ早くアップグレードすることをお勧めします。Snyk Kubernetesインテグレーションの概要と、Snyk Kubernetes Monitorのアップグレード方法はドキュメントをご覧ください。

新しいコントローラーは、より安全な新しいAPIエンドポイントにデータを送信します。現在の安全でないAPIエンドポイントは、6週間後の4月11日に廃止されます。その時点で、古いバージョンのSnyk Kubernetes Monitorは利用できなくなります。

詳細情報

この中程度の深刻度の脆弱性について、詳しくは公開されている脆弱性データベースの詳細をご覧ください。

この脆弱性を発見し、報告してくださったTesco Cybersecurity Teamに感謝いたします。Snykは、責任ある脆弱性開示プログラムとオープンソース技術を積極的に推進する企業として誇りを持っています。堅牢で現代的なセキュリティ体制を築くうえで重要なのは、社内のテストやツールを補完する外部テストを促進することです。

Snykは、あらゆるソフトウェアに脆弱性が含まれる可能性があることを理解しています。ユーザーの安全を最優先に考え、ソフトウェアを厳格にテストするために必要なあらゆる措置を今後も講じてまいります。

繰り返しになりますが、これは中程度の深刻度の脆弱性であり、影響はSnykの使いやすさに限定されます。しかし、お客様には脆弱性の継続的な検出と修正、そしてゼロデイインシデント発生時の対応をSnykにお任せいただいています。そのため、当社の可用性と正確性はユーザーにとって極めて重要であり、この問題を非常に深刻に受け止めています。

Snyk Kubernetes Monitorのアップグレードが必要となったお客様には、ご不便をおかけして申し訳ございません。ご質問がございましたら、Snyk Supportポータルからお問い合わせください。