CVE-2026-21019 – Esecuzione Sospesa del CronJob Kubernetes tramite Manipolazione del Tempo

Codice del Programma (YAML + exploit Python)

# cronjob_vuln.yaml - CronJob that checks current time without external validation
apiVersion: batch/v1
kind: CronJob
metadata:
  name: backup
spec:
  schedule: "0 2 * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: backup
            image: alpine
            command: ["/bin/sh", "-c", "if [ $(date +%H) -eq 2 ]; then echo doing backup; fi"]
          restartPolicy: OnFailure

CVE-2026-21019 – Manipolazione del Tempo nei CronJob Kubernetes

Panoramica

Un CronJob Kubernetes si affida all'orologio di sistema del nodo per decidere se eseguire un'operazione. Un attaccante con privilegi a livello di nodo può manipolare l'orologio per forzare un'esecuzione anticipata, attivando potenzialmente un'attività pianificata (ad esempio un backup) che potrebbe avere conseguenze indesiderate.

Dettagli della Vulnerabilità

• Tipo: Bug Logico / Abuso basato sul Tempo
• Impatto: Esecuzione prematura dei job, potenziale corruzione dei dati.
• Causa Principale: La pianificazione del CronJob viene valutata dal kube‑controller‑manager utilizzando il tempo del server API, ma se il container stesso controlla l'ora, può essere ingannato. In combinazione con la deriva dell'orologio del nodo, ciò può portare ad azioni non autorizzate.

Dimostrazione dell'Exploit

(Simulato) Con accesso root al nodo, esegui:

python exploit_cronjob_time.py

Se il container del cronjob considera attendibile l'ora dell'host, eseguirà il job.