
任何能够访问分配了节点/代理 GET 权限的服务账户,并能通过 10250 端口访问节点 Kubelet 的人,都可以向 /exec 端点发送信息,在任何 Pod(包括特权系统 Pod)中执行命令,这可能会导致整个集群被攻破。Kubernetes 审计策略不会记录通过直接连接到 Kubelet API 执行的命令。
文章:
https://grahamhelton.com/blog/nodes-proxy-rce
https://gist.github.com/grahamhelton/f5c8ce265161990b0847ac05a74e466a
https://labs.iximiuz.com/tutorials/nodes-proxy-rce-c9e436a9
#好文推荐









