选举系统安全漏洞报告：弱会话密钥风险分析
漏洞概述
安全研究人员ian使用其开发的CookieMonster工具，发现Kubernetes选举网站elections.k8s.io存在严重的安全配置问题。该网站使用Flask框架，但其SECRET_KEY设置为弱值"N/A"，这可能导致会话被篡改的风险。
技术细节
问题描述
- 应用程序使用Flask框架的状态cookie来维护会话信息
- SECRET_KEY被硬编码为字符串"N/A"，而非随机生成的强密钥
- 该密钥用于签名身份验证cookie，弱密钥使得攻击者可能伪造会话
代码证据
从Elekto源代码中发现的警告信息：
1
2
3
4
5
|
# Encryption Key
#
# This is used by the Flask server and should be set to a random character
# string, please do not deploy before doing this!
SECRET_KEY = env('APP_KEY', 'test')
|
验证方法
研究人员提供了使用Flask-Unsign工具验证漏洞的方法：
1
2
3
4
5
6
7
8
9
|
% curl https://elections.k8s.io -Is | grep cookie
set-cookie: session=eyJfcGVybWFuZW50Ijp0cnVlfQ.YX-V3g.NET76NNJbweb_qagyfYl2_7TDJg; Expires=Thu, 02 Dec 2021 07:23:10 GMT; HttpOnly; Path=/
% flask-unsign -u -c "eyJfcGVybWFuZW50Ijp0cnVlfQ.YX-V3g.NET76NNJbweb_qagyfYl2_7TDJg"
[*] Session decodes to: {'_permanent': True}
[*] No wordlist selected, falling back to default wordlist..
[*] Starting brute-forcer with 8 threads..
[+] Found secret key after 8192 attempts
'N/A'
|
影响评估
潜在风险
- 弱密钥可能允许任意会话操作
- 虽然会话中包含的是GitHub OAuth令牌而非用户ID，但仍可能被用于：
- 跨站请求伪造（CSRF）攻击
- 投票或身份验证流程的异常攻击
- 会话令牌操纵
会话结构分析
会话cookie包含以下字段：
1
|
{'_permanent': True, 'authentication': 'gho_lhhuQuI2mXXCnTPT2N8...', 'csrf_token': '500ef973780f085ccd6090efa41a6...', 'state': 'd4U9sRlU9jMXgR....'}
|
处理过程
时间线
- 2021年11月1日：漏洞报告提交
- 2021年11月4日：状态更改为"已分类"，严重性评级为高（7.5分）
- 2021年11月9日：Kubernetes团队奖励研究人员125美元奖金
- 2025年8月20日：报告状态更改为"已解决"
- 2025年9月19日：报告被公开披露
最终处理
Kubernetes团队认为该问题属于程序范围之外，但依然认可报告的质量并给予奖励。团队表示将采取措施修复该问题。
技术分类
- 弱点类型：加密问题 - 通用
- 严重程度：高（7.5）
- 赏金金额：250美元
- CVE ID：无
该漏洞报告展示了即使是简单的配置错误也可能对关键系统（如选举系统）造成潜在的安全威胁。