CVE-2026-21008 – Kubernetes 服务账户令牌被挂载至 HostPath

程序代码（YAML + Python 漏洞利用）

# vulnerable-pod.yaml - Pod that mounts /var/run/secrets/kubernetes.io/serviceaccount into a hostPath
apiVersion: v1
kind: Pod
metadata:
  name: sa-token-leak
spec:
  containers:
  - name: app
    image: nginx
    volumeMounts:
    - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
      name: sa-token
  volumes:
  - name: sa-token
    hostPath:
      path: /var/run/secrets/kubernetes.io/serviceaccount  # Writable by container? Not needed.
      type: Directory

CVE-2026-21008 – Kubernetes SA 令牌通过 hostPath 挂载泄漏

概述

Pod 通过 hostPath 挂载 Kubernetes 服务账户令牌目录，而不是使用默认的投射卷。如果同一节点上的其他 Pod 能够读取宿主文件系统，则该令牌会暴露给它们，从而允许横向移动和集群沦陷。

漏洞详情

类型： 信息泄露 / 权限提升
影响： 通过窃取的 SA 令牌获得集群管理员访问权限。
根本原因： 使用 hostPath 挂载 SA 令牌目录绕过了内存中的令牌投射，并使令牌成为节点上的持久化文件。

漏洞利用演示

部署易受攻击的 Pod，然后从另一个具有主机访问权限的 Pod 中运行：

python exploit_sa_token.py

该令牌被读取后，可用于向 API 服务器进行身份验证。

CVE-2026-21008-Kubernetes-Service-Account-Token-Mounted-in-HostPath

最受欢迎