セキュリティアドバイザリーおよびCVE

修正されたバージョン: 5.4.8

NeuVectorはOpenID Connectを使用した認証をサポートしています。TLS検証は、リモートサーバーの真正性と完全性を検証しますが、デフォルトでは強制されていません。これにより、システムが中間者攻撃（MITM）にさらされる可能性があります。

バージョン`5.4.0`以降、NeuVectorは次のためにTLS検証をサポートします：

デフォルトでは、TLS検証は無効のままです。この設定は、NeuVector UIの*設定 → 設定*の下にあります。

パッチ適用済みのバージョンでは、新しいNeuVectorのデプロイメントはデフォルトでTLS検証を有効にします。ローリングアップグレードは、サービスの中断を防ぐために既存の設定を変更しません。

パッチが適用されたバージョンには、リリース`v5.4.8`以降が含まれます。

TLS検証を手動で有効にするには：

修正されたバージョン: 5.4.7

NeuVectorは以前、ソースコードに埋め込まれたハードコーディングされた暗号鍵を使用していました。コンパイル中に、この値は機密設定フィールドを暗号化するために使用される静的秘密鍵に置き換えられました。

パッチ適用されたリリースでは、NeuVectorはKubernetesシークレット`neuvector-store-secret`（`neuvector`ネームスペース内）を使用して、安全で動的な暗号化鍵を生成します。これにより、静的鍵への依存が排除され、Kubernetes管理のシークレットに鍵を保存することでセキュリティが向上します。

ローリングアップグレード中または永続ストレージからの復元時に、NeuVectorコントローラーは暗号化された設定フィールドをチェックします。フィールドがデフォルトの固定鍵で暗号化されている場合、それは復号化され、新しい動的鍵を使用して再暗号化されます。

コントローラーがKubernetesシークレットにアクセスするためのRBAC権限を持っていない場合、次のようにログに記録します：

Required Kubernetes RBAC for secrets are not found

そして終了します。

デバイス暗号化鍵は3ヶ月ごとにローテーションされます。詳細については、次を参照してください： 設定内の機密フィールドのローテーション。

パッチが適用されたバージョンには、リリース`v5.4.7`以降が含まれます。

回避策は利用できません。できるだけ早くパッチ適用済みのバージョンにアップグレードしてください。

修正されたバージョン： 5.4.7, 5.3.5

この脆弱性は、匿名クラスタデータを報告するが有効な場合にのみ、NeuVectorのデプロイメントに影響を与えます。有効な場合、NeuVectorは匿名のテレメトリデータを次の宛先に送信します：

https://upgrades.neuvector-upgrade-responder.livestock.rancher.io

影響を受けるバージョンでは、TLS証明書の検証が強制されず、テレメトリ通信がMITM攻撃に対して脆弱になります。攻撃者は送信されたデータを傍受または改ざんする可能性があります。

NeuVectorは、テレメトリサーバーの応答をメモリにサイズ制限なしで読み込んでおり、サービス拒否（DoS）のリスクにさらされています。

パッチ適用済みのバージョンには以下が含まれます：

これらの改善はデフォルトで有効になっており、ユーザーの操作は不要です。

パッチが適用されたバージョンには、リリース`v5.4.7`以降が含まれます。

更新できない場合は、匿名クラスタデータを報告するを無効にしてください。

設定 → 設定 → 匿名クラスタデータの報告

この設定を無効にすると、NeuVectorがテレメトリデータを送信するのを防ぎ、この脆弱性への露出が減少します。

*推奨:*できるだけ早くパッチ適用済みのバージョンにアップグレードしてください。

修正されたバージョン: 5.4.5

`5.4.4`までのNeuVectorのバージョンにおける脆弱性は、NeuVector Managerコンテナログに機密情報を漏洩させる可能性があります。以下のフィールドがログに表示される可能性があります：

パッチ適用されたバージョンでは、X-R-Sess`が部分的にマスクされています。他の機密フィールド（`personal_access_token、token、rekor_public_key、root_cert、sct_public_key、public_key）はログから削除されます。

詳細については、 無防備な資格情報（MITRE ATT&CK T1552）を参照してください。

パッチが適用されたバージョンには、リリース`5.4.5`以降が含まれます。アップグレード後、リモートリポジトリ設定で使用されるGitHubトークンをローテーションしてください。

回避策は利用できません。できるだけ早く修正されたバージョンにアップグレードしてください。