Kubernetes遥测功能完全危害集群
💡
原文英文，约700词，阅读约需3分钟。
📝
内容提要
Kubernetes存在一个漏洞，允许具有读取权限的用户通过特定服务账户访问Kubelet，执行任意命令。安全研究员Graham Helton建议审查RBAC策略并实施网络政策以防止攻击。
🎯
关键要点
- Kubernetes存在一个漏洞，允许具有读取权限的用户通过特定服务账户访问Kubelet，执行任意命令。
- 安全研究员Graham Helton发现该漏洞，并建议审查RBAC策略以防止攻击。
- 该漏洞利用了nodes/proxy GET资源的权限，允许访问Kubelet的内部API。
- Helton指出，Kubernetes的审计策略不会记录通过Kubelet API直接连接执行的命令。
- 建议采取措施，包括审计RBAC策略、限制对Kubelet端口的访问、以及计划迁移到KEP-2862的细粒度权限。
- 行业观察者指出，Kubernetes工作负载的复杂性在2026年与2016年有显著不同，需考虑架构隔离。
➡️
