POC-2020-8559

Эксплойт для CVE-2020-8559. Мы перехватываем все соединения с kubelet с помощью iptables, затем переписываем ответы 101 или 302 на 307. 101-е предназначены для современных версий Kubernetes, 302-е — для более старых.

У нас нет доступа к сертификату x509 kube-apiserver, поэтому аутентификация kubelet через webhook может быть проблемой. С этим фрагментом конфигурации kubelet проблем нет, он по сути заново включает старый добрый эксплойт kubelet:

authentication:
  anonymous:
    enabled: true
authorization:
  mode: AlwaysAllow