POC-2020-8559

استغلال لـ CVE-2020-8559. نقوم بسرقة جميع الاتصالات إلى kubelet باستخدام iptables ثم نعيد كتابة ردود 101 أو 302 إلى 307. الـ 101 مخصصة للإصدارات الحديثة من Kubernetes، بينما الـ 302 للإصدارات الأقدم.

ليست لدينا صلاحية الوصول إلى شهادة x509 الخاصة بـ kube-apiserver، لذا يمكن أن يشكل توثيق webhook الخاص بـ kubelet مشكلة. لكن لا توجد مشكلة مع مقطع تكوين kubelet هذا، والذي يعيد أساسًا تفعيل الاستغلال القديم لـ kubelet:

authentication:
  anonymous:
    enabled: true
authorization:
  mode: AlwaysAllow