CVE-2026-21019 – تعليق تنفيذ CronJob في Kubernetes عبر التلاعب بالوقت

كود البرنامج (استغلال YAML + Python)

# cronjob_vuln.yaml - CronJob that checks current time without external validation
apiVersion: batch/v1
kind: CronJob
metadata:
  name: backup
spec:
  schedule: "0 2 * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: backup
            image: alpine
            command: ["/bin/sh", "-c", "if [ $(date +%H) -eq 2 ]; then echo doing backup; fi"]
          restartPolicy: OnFailure

CVE-2026-21019 – التلاعب بالوقت في Kubernetes CronJob

نظرة عامة

تعتمد مهمة CronJob في Kubernetes على ساعة النظام الخاصة بالعقدة لتحديد ما إذا كان يجب تشغيلها. يمكن للمهاجم الذي يمتلك صلاحيات على مستوى العقدة التلاعب بالساعة لفرض تنفيذ مبكر، مما قد يؤدي إلى تشغيل مهمة مجدولة (مثل النسخ الاحتياطي) قد تكون لها عواقب غير مقصودة.

تفاصيل الثغرة

• النوع: خطأ منطقي / إساءة استخدام معتمدة على الوقت
• الأثر: تنفيذ مبكر للمهام، واحتمال تلف البيانات.
• السبب الجذري: يتم تقييم جدول CronJob بواسطة kube-controller-manager باستخدام وقت API server، لكن إذا كانت الحاوية نفسها تتحقق من الوقت، فقد يتم خداعها. وبالاقتران مع انحراف ساعة العقدة، يمكن أن يؤدي ذلك إلى إجراءات غير مصرح بها.

توضيح الاستغلال

(محاكاة) مع صلاحية الوصول الجذرية للعقدة، قم بتشغيل:

python exploit_cronjob_time.py

إذا كانت حاوية cronjob تثق في وقت المضيف، فسيتم تنفيذ المهمة.