CVE-2026-21008 – hostPath にマウントされた Kubernetes Service Account トークン

プログラムコード（YAML + Python エクスプロイト）

# vulnerable-pod.yaml - Pod that mounts /var/run/secrets/kubernetes.io/serviceaccount into a hostPath
apiVersion: v1
kind: Pod
metadata:
  name: sa-token-leak
spec:
  containers:
  - name: app
    image: nginx
    volumeMounts:
    - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
      name: sa-token
  volumes:
  - name: sa-token
    hostPath:
      path: /var/run/secrets/kubernetes.io/serviceaccount  # Writable by container? Not needed.
      type: Directory

CVE-2026-21008 – hostPath マウントによる Kubernetes SA トークン漏えい

概要

ポッドが、デフォルトの projected ボリュームの代わりに hostPath 経由で Kubernetes service account トークンのディレクトリをマウントします。同一ノード上の他のポッドがホストのファイルシステムを読み取れる場合、トークンが露出し、横展開（ラテラルムーブメント）やクラスターの侵害が可能になります。

脆弱性の詳細

• タイプ: 情報漏えい / 権限昇格
• 影響: 窃取した SA トークンによるクラスター管理者アクセス。
• 根本原因: hostPath で SA トークンのディレクトリをマウントすると、インメモリのトークン投影がバイパスされ、トークンがノード上の永続ファイルになります。

エクスプロイトの実演

脆弱なポッドをデプロイし、次にホストアクセス権を持つ別のポッドから以下を実行します：

python exploit_sa_token.py

トークンは読み取られ、API サーバーへの認証に使用できます。