Kubernetes遥测功能完全危害集群
内容提要
Kubernetes存在一个漏洞，允许具有读取权限的用户通过特定服务账户访问Kubelet，执行任意命令。安全研究员Graham Helton建议审查RBAC策略并实施网络政策以防止攻击。
关键要点
-
Kubernetes存在一个漏洞，允许具有读取权限的用户通过特定服务账户访问Kubelet，执行任意命令。
-
安全研究员Graham Helton发现该漏洞，并建议审查RBAC策略以防止攻击。
-
该漏洞利用了nodes/proxy GET资源的权限，允许访问Kubelet的内部API。
-
Helton指出，Kubernetes的审计策略不会记录通过Kubelet API直接连接执行的命令。
-
建议采取措施，包括审计RBAC策略、限制对Kubelet端口的访问、以及计划迁移到KEP-2862的细粒度权限。
-
行业观察者指出，Kubernetes工作负载的复杂性在2026年与2016年有显著不同，需考虑架构隔离。
延伸问答
Kubernetes的漏洞是如何被发现的？
安全研究员Graham Helton发现了Kubernetes的漏洞，允许具有读取权限的用户通过特定服务账户访问Kubelet，执行任意命令。
这个漏洞对Kubernetes集群的安全性有什么影响？
该漏洞允许攻击者通过Kubelet的内部API执行任意命令，可能导致整个集群被摧毁。
Helton建议采取哪些措施来防止这个漏洞的利用？
Helton建议审查RBAC策略、限制对Kubelet端口的访问，并计划迁移到KEP-2862的细粒度权限。
Kubernetes的审计策略在这个漏洞中有什么不足？
Kubernetes的审计策略不会记录通过Kubelet API直接连接执行的命令，这使得恶意行为无法被追踪。
为什么Kubernetes的nodes/proxy GET权限被认为是一个特性而非漏洞？
因为nodes/proxy GET调用是为服务账户设计的，许多监控工具依赖于此权限来访问节点的内部API。
Kubernetes集群的工作负载在2026年与2016年有什么显著不同？
2026年的Kubernetes工作负载不仅仅是无状态应用，还包括AI训练管道、金融交易系统和涉及患者数据的医疗应用。
