CVE-2026-5556 – 대소문자 구분을 통한 Kubernetes Admission Controller 우회

프로그램 코드 (Python admission webhook + 익스플로잇)

#!/usr/bin/env python3
# admission_webhook.py - Vulnerable webhook that rejects pods with specific name
from flask import Flask, request, jsonify

app = Flask(__name__)

DENIED_POD_NAMES = ["kube-system-svc", "admin-pod"]

@app.route('/validate', methods=['POST'])
def validate():
    req = request.get_json()
    pod_name = req["request"]["object"]["metadata"]["name"]
    # Flaw: case‑sensitive comparison
    if pod_name in DENIED_POD_NAMES:
        return jsonify({"response": {"allowed": False, "status": {"message": "Name denied"}}})
    return jsonify({"response": {"allowed": True}})

if __name__ == '__main__':
    app.run(port=443, ssl_context='adhoc')  # using self-signed cert for demo

CVE-2026-5556 – Kubernetes Admission Controller 대소문자 구분 우회

개요

파드 이름을 검증하는 admission webhook은 거부 목록(deny‑list)에 대해 대소문자를 구분하는 문자열 매칭을 사용합니다. 공격자는 파드 이름의 대소문자를 변경하여 제한을 우회할 수 있습니다. Kubernetes는 이름을 대소문자 보존 방식으로 취급하지만, 종종 대소문자를 구분하지 않는 조회를 수행하므로 승인되지 않은 파드 생성으로 이어질 수 있습니다.

취약점 세부 정보

• 유형: 접근 제어 우회
• 영향: privileged 또는 restricted 파드 배포, 잠재적 클러스터 침해.
• 근본 원인: 웹훅은 파드 이름을 대소문자 구분하여 정확히 비교하지만, Kubernetes API는 대소문자가 다른 동일한 이름을 허용할 수 있으며, 다른 구성 요소는 이를 동등하게 취급합니다.

익스플로잇 시연

1. admission webhook을 시작합니다:
   root@kitploit:~

   python admission_webhook.py
   

2. 대소문자가 변경된 이름으로 파드 생성 요청을 전송합니다:
   root@kitploit:~

   python exploit_admission_bypass.py