Auteur/autrice : zigmax

AKS Security in French!

Bonjour,

Aujourd’hui, j’ai le plaisir de vous annoncer que je vais animer une conférence sur la thématique de la sécurité des clusters AKS pour le Microsoft Reactor Toronto. Pour la première fois au Microsoft Reactor, cette conférence sera dispensé en Français et ce pour le plus grand plaisir des communautés Francophone.

Cette conférence pourra être suivi en ligne le jeudi 1er Octobre de 18h à 19h.

Afin de vous inscrire je vous donne rendez-vous au lien suivant: https://www.meetup.com/fr-FR/Microsoft-Reactor-Toronto/events/273113179/

N’hésitez pas à me solliciter si vous avez des questions avant ou après la conférence.

Maxime.

Azure Policy | Lancer un scan

Bonjour,

Dans cet article je vais vous présenter commencer lancer manuellement un scan de vos Azure Policy. Par défaut Azure policy est lancé chaque 24 heures. Mais si vous développez des Azure policies, vous ne souhaitez certainement pas attendre 24 heures avant d’avoir un premier résultat.

  • Avec Azure-cli: 
az policy state trigger-scan --resource-group "MyRG"
  • Avec Powershell:
Start-AzPolicyComplianceScan -ResourceGroupName 'MyRG'
  • Avec l’APIRest:

Pour scanner un ressource group:

POST https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.PolicyInsights/policyStates/latest/triggerEvaluation?api-version=2019-10-01

Pour scanner une souscription:

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{YourRG}/providers/Microsoft.PolicyInsights/policyStates/latest/triggerEvaluation?api-version=2019-10-01

Maxime.

AKS | Azure Kubernetes Service: Privilege escalation from compromised node to cluster (CVE-2020-8559)

Hi,

In this article I would like share with you a new vulnerability against Azure Kubernetes.

Title: Privilege escalation from compromised node to cluster

CVE: CVE-2020-8559

Description:

If an attacker is able to intercept certain requests to the Kubelet within Azure Kubernetes Service (AKS), they can send a redirect response that may be followed by a client using the credentials from the original request. This can lead to compromise of other nodes.

If multiple clusters share the same certificate authority trusted by the client, and the same authentication credentials, this vulnerability may allow an attacker to redirect the client to another cluster. In this configuration, this vulnerability should be considered High severity.

Note that this vulnerability requires an attacker to first compromise a node through separate means.

Affected versions:

AKS patches all GA kubernetes versions control plane components automatically.

  • kube-apiserver <v1.18.6
  • kube-apiserver <v1.17.7
  • kube-apiserver <v1.16.10
  • and all kube-apiserver versions prior to v1.15.11

Fixed versions:

  • kube-apiserver v1.18.6+
  • kube-apiserver v1.17.7+
  • kube-apiserver v1.16.10+

Maxime.