漏洞背景

Kubernetes又称K8s，是一个跨主机管理容器化应用程序的开源系统。具有创建Pod权限且gitRepo volume可用时，攻击者可以拉取恶意git repo，导致任意代码执行。

风险等级

高危

漏洞状态

截止2024年11月21日12:00:00（UTC+8）

漏洞细节	PoC状态	在野利用
已公开	已公开	未发现

影响范围

• v1.30.0 <= kubelet <= v1.30.2

• v1.29.0 <= kubelet <= v1.29.6

• kubelet <= v1.28.11

修复建议

升级kubelet至以下任意版本：

• v1.31.0

• v1.30.3

• v1.29.7

• v1.28.12

缓解措施

利用准入控制器对使用 gitRepo volume 的 Pod 进行检测和拦截，可参考链接[5]、[6]配置。

参考链接

1. https://seclists.org/oss-sec/2024/q4/109

2. https://github.com/kubernetes/kubernetes/pull/124531

3. https://github.com/kubernetes/kubernetes/issues/128885

4. https://irsl.medium.com/sneaky-write-hook-git-clone-to-root-on-k8s-node-e38236205d54

5. https://kubernetes.io/docs/concepts/storage/volumes/#gitrepo

6. https://bughunters.google.com/blog/6669874749636608/securing-the-container-world-with-policies-acjs-and-ctrdac