CVE-2026-21019 – Приостановленное выполнение Kubernetes CronJob через манипуляцию временем

Код программы (YAML + Python-эксплойт)

# cronjob_vuln.yaml - CronJob that checks current time without external validation
apiVersion: batch/v1
kind: CronJob
metadata:
  name: backup
spec:
  schedule: "0 2 * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: backup
            image: alpine
            command: ["/bin/sh", "-c", "if [ $(date +%H) -eq 2 ]; then echo doing backup; fi"]
          restartPolicy: OnFailure

CVE-2026-21019 – манипуляция временем в Kubernetes CronJob

Обзор

Kubernetes CronJob полагается на системные часы узла, чтобы решить, выполнять ли задание. Злоумышленник с привилегиями уровня узла может манипулировать часами, чтобы вызвать преждевременное выполнение, потенциально запуская запланированную задачу (например, резервное копирование), что может привести к непредвиденным последствиям.

Детали уязвимости

Тип: Логическая ошибка / злоупотребление временем
Воздействие: Преждевременное выполнение заданий, возможное повреждение данных.
Корневая причина: Расписание CronJob вычисляется kube‑controller‑manager с использованием времени API-сервера, но если контейнер сам проверяет время, его можно обмануть. В сочетании с дрейфом часов узла это может привести к несанкционированным действиям.

Демонстрация эксплойта

(Симуляция) Имея root-доступ к узлу, выполните:

python exploit_cronjob_time.py

CVE-2026-21019-Kubernetes-CronJob-Suspended-Execution-via-Time-Manipulation

Популярное