CVE-2026-21019 – Kubernetes CronJobの時刻操作による一時停止/強制実行

プログラムコード（YAML + Pythonエクスプロイト）

# cronjob_vuln.yaml - CronJob that checks current time without external validation
apiVersion: batch/v1
kind: CronJob
metadata:
  name: backup
spec:
  schedule: "0 2 * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: backup
            image: alpine
            command: ["/bin/sh", "-c", "if [ $(date +%H) -eq 2 ]; then echo doing backup; fi"]
          restartPolicy: OnFailure

CVE-2026-21019 – Kubernetes CronJobの時刻操作

概要

KubernetesのCronJobは、実行するかどうかをノードのシステムクロックに依存して判断します。ノードレベルの権限を持つ攻撃者はクロックを操作して強制的に早期実行させ、スケジュールされたタスク（例: バックアップ）を意図しないタイミングで起動し、予期しない結果を招く可能性があります。

脆弱性の詳細

• 種別: ロジックバグ / 時刻ベースの悪用
• 影響: ジョブの早期実行、データ破損の可能性
• 根本原因: CronJobのスケジュールはkube-controller-managerがAPIサーバーの時刻を使って評価しますが、コンテナ自体が時刻をチェックする場合、騙される可能性があります。ノードクロックのずれと組み合わさると、不正な操作につながる恐れがあります。

エクスプロイトのデモ

（シミュレーション）ノードのrootアクセス権限で以下を実行します:

python exploit_cronjob_time.py

CronJobコンテナがホストの時刻を信頼する場合、ジョブが実行されます。