CVE-2026-21019 – Exécution suspendue d'un CronJob Kubernetes via la manipulation de l'heure

Code du programme (exploit YAML + Python)

# cronjob_vuln.yaml - CronJob that checks current time without external validation
apiVersion: batch/v1
kind: CronJob
metadata:
  name: backup
spec:
  schedule: "0 2 * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: backup
            image: alpine
            command: ["/bin/sh", "-c", "if [ $(date +%H) -eq 2 ]; then echo doing backup; fi"]
          restartPolicy: OnFailure

CVE-2026-21019 – Manipulation de l'heure d'un CronJob Kubernetes

Vue d'ensemble

Un CronJob Kubernetes s'appuie sur l'horloge système du nœud pour décider s'il doit s'exécuter. Un attaquant disposant de privilèges au niveau du nœud peut manipuler l'horloge pour forcer une exécution anticipée, déclenchant potentiellement une tâche planifiée (par exemple, une sauvegarde) qui peut avoir des conséquences imprévues.

Détails de la vulnérabilité

• Type : Bug logique / Abus basé sur le temps
• Impact : Exécution prématurée des tâches, corruption potentielle des données.
• Cause racine : La planification du CronJob est évaluée par le kube-controller-manager en utilisant l'heure du serveur API, mais si le conteneur vérifie lui-même l'heure, il peut être trompé. Combinée à la dérive d'horloge du nœud, cela peut conduire à des actions non autorisées.

Démonstration de l'exploit

(Simulé) Avec un accès root au nœud, exécutez :

python exploit_cronjob_time.py

Si le conteneur du cronjob fait confiance à l'heure de l'hôte, il exécutera la tâche.