Пример ухода из Kubernetes через CVE-2017-1002101

Описание

Узнав о проблеме и следуя этому руководству, я захотел изучить её подробнее. Этот репозиторий содержит несколько развёртываний подов и вспомогательные shell-скрипты, которые демонстрируют механизм атаки самым простым способом, чтобы администраторы и операторы Kubernetes могли полностью понять серьёзность и потенциальные риски. Вы должны быть аутентифицированным пользователем или иметь возможность управлять спецификацией/шаблоном пода при создании, поэтому этот уход вряд ли будет анонимным, если не комбинировать его с другими атаками, например этой.

Краткое объяснение

Когда kubelet монтирует volume/secret/configmap и т.д., он неправильно следует по симлинкам внутри volume к местам за пределами допустимой области. Поскольку kubelet работает от root, это означает, что его можно обманом заставить смонтировать привилегированные части хост-файловой системы внутри контейнера непривилегированного пода.

Мой подход заключался в использовании одного пода с двумя «обычными» контейнерами. Один контейнер создаёт симлинк на / или , а другой циклически перезапускается до тех пор, пока это не удастся (заставляя volume перемонтироваться и следовать по пути симлинка), что позволяет пользователю выполнить exec во второй контейнер и получить доступ к точке монтирования.