Betroffen ist die Komponente cluster-proxy-addon der Multicluster Engine for Kubernetes, die Anfragen an verwaltete Cluster weiterleitet. Durch einen Fehler in der Verarbeitung von URL-Pfadsegmenten lassen sich die Authentifizierungs- und Autorisierungsprüfungen umgehen: Wer die nach außen erreichbare Route ansprechen kann, benötigt keinerlei Anmeldung. Ein Angreifer manipuliert dazu gezielt die Pfadbestandteile einer Anfrage und bringt den Proxy dazu, diese an beliebige Dienste in beliebigen verwalteten Clustern weiterzuleiten. Dadurch erhält er Zugriff auf interne Dienste, die eigentlich nur innerhalb der Cluster-Umgebung erreichbar sein sollten. Die Folgen reichen vom Abfluss vertraulicher Informationen bis hin zu einer weitergehenden Kompromittierung der gesamten Cluster-Landschaft, da über den Proxy mehrere verwaltete Cluster zentral erreichbar sind. Besonders kritisch ist dies in Umgebungen, in denen die Route aus einem nicht vertrauenswürdigen Netz erreichbar ist.