cert-manager: يمكن لموارد ACME Challenge المباشرة تجاوز سياسة أداة حل Issuer DNS01 واستخدام أوراق اعتماد DNS الخاصة بـ ClusterIssuer

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

## الملخص يمكن إنشاء موارد `Challenge` التابعة لـ `acme.cert-manager.io` مباشرة من قبل مستخدمي مساحة الأسماء. عند الإنشاء، لا يجري cert-manager أي تحقق من القبول يربط الـ Challenge بـ `Order` أو مرجع المالك أو أداة حل مختارة من `Issuer`. ثم يقوم متحكم ACME Challenge بتسوية المورد المباشر ويستخدم `Challenge.spec.solver` كتهيئة لمزود DNS01. عندما يشير الـ Challenge المباشر إلى `ClusterIssuer`، يشتق cert-manager مساحة أسماء السر لمزود DNS وسياسة الاعتماد المحيطة من مرجع `ClusterIssuer`، لكن تهيئة مزود DNS نفسها تكون تحت سيطرة المهاجم من خلال `Challenge.spec.solver`. يتيح هذا لمستخدم مساحة الأسماء تجاوز محددات أداة الحل في `Issuer`/`ClusterIssuer` مثل `dnsZones` و `dnsNames` و `matchLabels`، وجعل متحكم cert-manager يستخدم أوراق اعتماد DNS لـ ClusterIssuer للإعدادات وأسماء DNS التي يختارها المهاجم. في حالة acme-dns، يتحول هذا إلى الكشف عن أوراق الاعتماد لأن مضيف أداة الحل الذي يتحكم به المهاجم يتلقى ترويسات `X-Api-User` و `X-Api-Key` المحملة بواسطة cert-manager من مساحة أسماء موارد ClusterIssuer. ## الشروط المسبقة للهجوم - يمكن للمهاجم إنشاء موارد `challenges.acme.cert-manager.io` في مساحة أسماء واحدة على الأقل. - يعمل متحكم cert-manager ويقوم بتسوية موارد ACME `Challenge` على مستوى المجمع (cluster-wide). - يوجد `ClusterIssuer` قابل للاستخدام في المجمع. - يحتوي `ClusterIssuer` المشار إليه على أداة حل DNS01 تستخدم Secret في مساحة أسماء موارد المجمع، أو يعتمد على أوراق الاعتماد المحيطة الممكنة لـ `ClusterIssuer`. - المجمع متعدد المستأجرين أو يفصل بطريقة أخرى مستخدمي مساحة الأسماء عن إدارة أوراق اعتماد DNS و Issuer/ClusterIssuer المملوكة للمنصة. ## مبرر الخطورة...

المعالجة

1. أحصِ جميع نشرات github.com/cert-manager/cert-manager، بما فيها بيئات الاختبار.
2. رقِّ github.com/cert-manager/cert-manager إلى الإصدار المصحَّح الخاص بفرعك، كما يظهر في جدول الإصدارات المتأثرة.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/advisories/GHSA-8rvj-mm4h-c258
• مرجعhttps://github.com/cert-manager/cert-manager/security/advisories/GHSA-8rvj-mm4h-c258
• مرجعhttps://nvd.nist.gov/vuln/detail/CVE-2026-62290
• مرجعhttps://github.com/cert-manager/cert-manager/pull/8940
• مرجعhttps://github.com/cert-manager/cert-manager/pull/8941
• مرجعhttps://github.com/cert-manager/cert-manager/commit/6bda47297c8fbc6b121b8b76624b668d26f1a155
• مرجعhttps://github.com/cert-manager/cert-manager/commit/b37dbf01ecea50a0b3a19df0a7fe4c5ad6803f16
• مرجعhttps://github.com/cert-manager/cert-manager/releases/tag/v1.19.6
• مرجعhttps://github.com/cert-manager/cert-manager/releases/tag/v1.20.3