CVE-2026-21019 – 通过时间操纵绕过 Kubernetes CronJob 挂起执行

程序代码（YAML + Python 漏洞利用）

# cronjob_vuln.yaml - CronJob that checks current time without external validation
apiVersion: batch/v1
kind: CronJob
metadata:
  name: backup
spec:
  schedule: "0 2 * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: backup
            image: alpine
            command: ["/bin/sh", "-c", "if [ $(date +%H) -eq 2 ]; then echo doing backup; fi"]
          restartPolicy: OnFailure

CVE-2026-21019 – Kubernetes CronJob 时间操纵漏洞

概述

Kubernetes CronJob 依赖节点的系统时钟来决定是否运行。具有节点级权限的攻击者可以操纵时钟以强制提前执行，从而可能触发计划任务（例如备份），并产生意想不到的后果。

漏洞详情

类型： 逻辑漏洞 / 基于时间的滥用
影响： 任务提前执行，可能导致数据损坏。
根本原因： CronJob 调度由 kube-controller-manager 使用 API 服务器的时间进行评估，但如果容器自身检查时间，则可能被欺骗。再加上节点时钟漂移，这可能导致未授权的操作。

漏洞利用演示

（模拟）拥有节点 root 权限时，运行：

python exploit_cronjob_time.py

如果 cronjob 容器信任主机时间，它将执行该任务。

CVE-2026-21019-Kubernetes-CronJob-Suspended-Execution-via-Time-Manipulation

最受欢迎