CVE-2026-21019 – Ejecución suspendida de Kubernetes CronJob mediante manipulación del tiempo

Código del programa (YAML + exploit en Python)

# cronjob_vuln.yaml - CronJob that checks current time without external validation
apiVersion: batch/v1
kind: CronJob
metadata:
  name: backup
spec:
  schedule: "0 2 * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: backup
            image: alpine
            command: ["/bin/sh", "-c", "if [ $(date +%H) -eq 2 ]; then echo doing backup; fi"]
          restartPolicy: OnFailure

CVE-2026-21019 – Manipulación del tiempo en Kubernetes CronJob

Resumen

Un CronJob de Kubernetes depende del reloj del sistema del nodo para decidir si debe ejecutarse. Un atacante con privilegios a nivel de nodo puede manipular el reloj para forzar una ejecución anticipada, lo que podría desencadenar una tarea programada (por ejemplo, una copia de seguridad) con consecuencias no deseadas.

Detalles de la vulnerabilidad

• Tipo: Error de lógica / Abuso basado en el tiempo
• Impacto: Ejecución prematura de trabajos, posible corrupción de datos.
• Causa raíz: La programación del CronJob es evaluada por el kube-controller-manager utilizando la hora del servidor de API, pero si el propio contenedor verifica la hora, puede ser engañado. Combinado con la deriva del reloj del nodo, esto puede dar lugar a acciones no autorizadas.

Demostración del exploit

(Simulado) Con acceso root al nodo, ejecuta:

python exploit_cronjob_time.py