Konnectivity漏洞允许未经身份验证的攻击者拦截控制平面流量

sec随谈
sec随谈

sec随谈

2026年7月27日 08:56
北京

在小说阅读器读本章

去阅读

摘要

一个严重的Konnectivity漏洞允许远程攻击者在无需任何凭据的情况下渗入集群。该漏洞编号为CVE-2026-16242，CVSS评分为9.4，存在于托管控制平面所使用的Konnectivity代理服务器（proxy-server）中。实际影响是：未经身份验证的agent即可加入路由池，进而篡改控制平面流量。

摘要（详细）

Konnectivity的agent监听端在启动时未进行客户端证书验证。因此，能够访问该端点的远程攻击者可以伪装为受信任的agent建立连接。一旦得手，攻击者便可以对控制平面到节点之间的流量进行代理、窃听、篡改，甚至丢弃。

为何重要

控制平面是集群的\"大脑\"，因此一旦其流量遭到篡改，将同时威胁到机密性、完整性和可用性这三大安全属性。由于该agent端点本身是为工作节点agent暴露设计的，其攻击面在设计上就是可被外部触及的，这也是该漏洞获得9.4高危评分的原因。

攻击原理

问题根源在于身份验证检查缺失。面向agent的监听端在启动时未加载集群CA证书，同时也跳过了基于令牌（token）的agent身份验证。因此，服务器从未对客户端证书进行过校验。

能够访问agent端点的攻击者，无需持有经过签名的证书即可建立连接。这个未经信任的agent随后便会被纳入路由池中。当代理服务器选中该连接用于建立控制平面拨号（dial）时，攻击者便获得了介入该通信路径的立足点，此时便可以读取或篡改控制平面与节点之间传输的流量。

受影响系统

该漏洞影响运行了配置有误的Konnectivity代理服务器的托管控制平面。具体的受影响版本及产品对应关系，请参见Red Hat针对CVE-2026-16242发布的官方安全公告。目前尚未确认存在公开的在野利用情况。

补丁与应对措施

请在厂商发布配置了Konnectivity agent身份验证机制的更新后尽快应用该补丁。在此之前，应对agent端点的网络访问进行严格限制，仅允许受信任的工作节点网络访问该端点：