Canonical corrige errores en contenedores FIPS en kernels principales de Kubernetes

Canonical ha lanzado paquetes FIPS parcheados después de que un cliente descubriera que las imágenes de contenedores FIPS de Ubuntu Pro 22.04 podían fallar en los kernels de Linux estándar de la línea principal utilizados por entornos de Kubernetes gestionados, incluidos AWS EKS y Fargate. El problema surgía incluso cuando el host y el contenedor estaban configurados correctamente para cargas de trabajo FIPS.

Una dependencia específica del kernel

Según la explicación de Canonical, libgcrypt20-fips dependía de GRND_RESEED_ONLY, un indicador de kernel específico de Ubuntu empleado en su implementación de FIPS. Dicho indicador no está presente en los kernels estándar de la línea principal. Cuando el paquete intentaba utilizar getrandom() con el indicador no compatible, la llamada al sistema devolvía un error y el contenedor fallaba.

Por lo tanto, el fallo se debía a una suposición sobre el kernel subyacente y no a una configuración defectuosa del contenedor. Un host compatible con FIPS y una imagen construida correctamente aún podían encontrarse con el problema al implementarse en una plataforma de Kubernetes gestionada que utilizara una familia de kernels diferente.

La restricción de conformidad

Canonical indicó que la solución debía ser compatible con los kernels estándar a la vez que preservaba el estado FIPS de los componentes afectados. Los cambios en los paquetes criptográficos pueden requerir una revalidación a través del Programa de Validación de Módulos Criptográficos del Instituto Nacional de Estándares y Tecnología, lo que podría generar un obstáculo de conformidad independiente para las implementaciones reguladas.

El parche resultante modifica el comportamiento de libgcrypt20-fips, gnutls28 y ubuntu-fips cuando GRND_RESEED_ONLY no está disponible, permitiéndoles recurrir a una alternativa sin comprometer las garantías criptográficas descritas por Canonical.

Paquetes ya disponibles

Canonical suministró inicialmente los paquetes parcheados a través de un PPA privado para que el cliente pudiera validarlos. El cliente probó los contenedores en sus entornos de destino y confirmó que la solución funcionaba, según la empresa.

Posteriormente, Canonical lanzó las actualizaciones en los repositorios jammy-fips-updates y noble-fips-updates. El patrón de implementación afectado incluye imágenes de contenedores FIPS de Ubuntu Pro 22.04 y 24.04 que se ejecutan en kernels de nube estándar. El incidente demuestra que la compatibilidad de las implementaciones FIPS depende de la interacción entre los paquetes certificados y el kernel del host, y no exclusivamente de la certificación de la imagen.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: How a missing kernel flag broke FIPS-certified containers in managed Kubernetes