CVE-2026-21019 – Ausgesetzte Ausführung eines Kubernetes-CronJob durch Zeitmanipulation

Programmcode (YAML + Python-Exploit)

# cronjob_vuln.yaml - CronJob that checks current time without external validation
apiVersion: batch/v1
kind: CronJob
metadata:
  name: backup
spec:
  schedule: "0 2 * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: backup
            image: alpine
            command: ["/bin/sh", "-c", "if [ $(date +%H) -eq 2 ]; then echo doing backup; fi"]
          restartPolicy: OnFailure

CVE-2026-21019 – Kubernetes-CronJob-Zeitmanipulation

Überblick

Ein Kubernetes-CronJob verlässt sich auf die Systemuhr des Knotens, um zu entscheiden, ob er ausgeführt wird. Ein Angreifer mit Berechtigungen auf Knotenebene kann die Uhr manipulieren, um eine vorzeitige Ausführung zu erzwingen und möglicherweise eine geplante Aufgabe (z. B. ein Backup) auszulösen, die unbeabsichtigte Folgen haben kann.

Details zur Schwachstelle

• Typ: Logik-Bug / zeitbasierter Missbrauch
• Auswirkung: Vorzeitige Ausführung von Jobs, mögliche Datenbeschädigung.
• Grundursache: Der CronJob-Zeitplan wird vom kube-controller-manager anhand der Zeit des API-Servers ausgewertet. Wenn der Container jedoch selbst die Zeit überprüft, kann er getäuscht werden. In Kombination mit einer Abweichung der Knotenuhr kann dies zu unbefugten Aktionen führen.

Exploit-Demonstration

(Simuliert) Führen Sie mit Root-Zugriff auf den Knoten Folgendes aus:

python exploit_cronjob_time.py

Wenn der CronJob-Container der Host-Zeit vertraut, führt er den Job aus.