CVE-2026-21019 – Execução Suspensa de CronJob do Kubernetes via Manipulação de Tempo

Código do Programa (YAML + exploit em Python)

# cronjob_vuln.yaml - CronJob that checks current time without external validation
apiVersion: batch/v1
kind: CronJob
metadata:
  name: backup
spec:
  schedule: "0 2 * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: backup
            image: alpine
            command: ["/bin/sh", "-c", "if [ $(date +%H) -eq 2 ]; then echo doing backup; fi"]
          restartPolicy: OnFailure

CVE-2026-21019 – Manipulação de Tempo em CronJob do Kubernetes

Visão Geral

Um CronJob do Kubernetes depende do relógio do sistema do nó para decidir se deve ser executado. Um atacante com privilégios ao nível do nó pode manipular o relógio para forçar uma execução antecipada, potencialmente acionando uma tarefa agendada (por exemplo, backup) que pode ter consequências indesejadas.

Detalhes da Vulnerabilidade

• Tipo: Bug Lógico / Abuso Baseado em Tempo
• Impacto: Execução prematura de jobs, potencial corrupção de dados.
• Causa Raiz: A programação do CronJob é avaliada pelo kube-controller-manager usando o tempo do API server, mas se o próprio contêiner verificar o tempo, ele pode ser enganado. Combinado com a deriva do relógio do nó, isso pode levar a ações não autorizadas.

Demonstração do Exploit

(Simulado) Com acesso root ao nó, execute:

python exploit_cronjob_time.py

Se o contêiner do cronjob confiar no tempo do host, ele executará o job.