Любой пользователь, имеющий доступ к служебной учетной записи с правами «nodes/proxy GET», которая может установить соединение с Kubelet узла по порту 10250, может отправлять информацию на конечную точку /exec и выполнять команды в любом Pod, включая привилегированные системные Pod, что потенциально может привести к полному взлому кластера. Kubernetes AuditPolicy не регистрирует в журнале команды, выполняемые через прямое соединение с API Kubelet.
Kubernetes Remote Code Execution Via Nodes/Proxy GET Permission
An authorization bypass in Kubernetes RBAC allows for nodes/proxy GET permissions to execute commands in any Pod in the cluster.grahamhelton.com