Moby - это фреймворк с открытым исходным кодом для контейнеров, разработанный компанией Docker Inc., который распространяется в качестве Do…

Moby - это фреймворк с открытым исходным кодом для контейнеров, разработанный компанией Docker Inc., который распространяется в качестве Docker, Mirantis Container Runtime и различных других проектов/продуктов. Компонент демона Moby (`dockerd`), который разрабатывается как moby/moby, обычно называется *Docker*. Режим Swarm, который встроен и предоставляется по умолчанию в `dockerd` и, следовательно, присутствует в большинстве крупных Moby, является простым встроенным оркестратором контейнеров, который реализован с помощью комбинации SwarmKit и поддерживающего сетевого кода. Драйвер сетевого оверлей является основной функцией режима Swarm, предоставляя изолированные виртуальные локальные сети (VLAN), которые позволяют обмениваться данными между контейнерами и службами по кластеру. Этот драйвер является реализацией/пользователем VXLAN, который инкапсулирует кадры на уровне канала (Ethernet) в UDP дейтаграммах, которые помечают кадр метаданными VXLAN, включая идентификатор сети VXLAN (VNI), который идентифицирует исходную оверлейную сеть. Кроме того, драйвер сетевого оверлей поддерживает необязательный режим шифрования по умолчанию, который особенно полезен, когда пакеты VXLAN пересекают ненадёжную сеть между узлами. Зашифрованные оверлейные сети функционируют, инкапсулируя дейтаграммы VXLAN с помощью протокола IPsec Encapsulating Security Payload в транспортном режиме. Путём развертывания инкапсуляции IPSec зашифрованные оверлейные сети приобретают дополнительные свойства аутентификации источника через криптографические доказательства, целостности данных через контрольные суммы и конфиденциальности через шифрование. При настройке конечной точки в зашифрованной оверлейной сети Moby устанавливает три правила iptables (файервол Linux kernel), которые обеспечивают как входящий, так и исходящий IPSec. Эти правила полагаются на расширение iptables u32, предоставляемое модулем ядра xt_u32, чтобы напрямую фильтровать поле VNI пакета VXLAN, таким образом, гарантии IPSec могут быть обеспечены на зашифрованных оверлейных сетях без вмешательства в другие оверлейные сети или других пользователей VXLAN. Правило iptables указывает исходящие дейтаграммы VXLAN с VNI, которые соответствуют зашифрованной оверлейной сети, для инкапсуляции IPsec. Зашифрованные оверлейные сети на затронутых платформах тихо передают незашифрованные данные. В результате, сети `overlay` могут казаться функциональными, пропуская трафик, как ожидалось, но без каких-либо ожидаемых гарантий конфиденциальности или целостности данных. Злоумышленник, сидящий в надежном положении в сети, может считывать весь трафик приложения, который проходит через зашифрованную оверлейную сеть, что приводит к неожиданному раскрытию секретов или пользовательских данных. Таким образом, поскольку многие протоколы баз данных, внутренние API и т. д. не защищены вторым уровнем шифрования, пользователь может использовать зашифрованные оверлейные сети Swarm для обеспечения конфиденциальности, что из-за этой уязвимости больше не гарантируется. Патчи доступны в выпусках Moby 23.0.3 и 20.10.24. Поскольку номера версий Mirantis Container Runtime 20.10 обозначены иначе, пользователи этой платформы должны обновиться к 20.10.16. Некоторые обходные решения доступны. Закройте порт VXLAN (по умолчанию UDP порт 4789) для исходящего трафика на интернет-границе, чтобы предотвратить незапланированную утечку незашифрованного трафика через интернет, и/или убедитесь, что модуль ядра xt_u32 доступен на всех узлах кластера Swarm.