Как стать автором
Обновить
Southbridge
Обеспечиваем стабильную работу highload-проектов

Ломаем кластер Kubernetes через Helm v2 tiller

Блог компании Southbridge Системное администрирование *Серверное администрирование *DevOps *Kubernetes *
Перевод
Автор оригинала: Madhu Akula


Helm — пакетный менеджер для Kubernetes, что-то вроде apt-get для Ubuntu. В этой заметке мы увидим предыдущую версию helm (v2) с сервисом tiller, установленным по умолчанию, через который получим доступ к кластеру.


Подготовим кластер, для этого запустим команду:


kubectl run --rm --restart=Never -it --image=madhuakula/k8s-goat-helm-tiller -- bash


Демонстрация


  • Если ничего дополнительно не настраивать, helm v2 запускает сервис tiller, который имеет RBAC c полными правами администратора кластера.
  • После установки в namespace kube-system появляется tiller-deploy, а также открывается порт 44134, привязанный к 0.0.0.0. Это можно проверить с помощью telnet.

$ telnet tiller-deploy.kube-system 44134


  • Теперь можно подключиться к сервису tiller. Будем использовать бинарник helm для проведения операций при общении с сервисом tiller:

$ helm --host tiller-deploy.kube-system:44134 version


  • Попробуем получить секреты кластера Kubernetes из namespace kube-system:

$ kubectl get secrets -n kube-system


  • Теперь мы можем создать свой собственный чарт, в котором создадим роль с правами администратора и назначим эту роль дефолтному сервис аккаунту. Используя токен от этого сервис аккаунта, мы получили полный доступ в наш кластер.

$ helm --host tiller-deploy.kube-system:44134 install /pwnchart


  • Сейчас, когда pwnchart развернут, сервисная учетная запись по умолчанию имеет полный административный доступ. Проверим еще раз получение секретов из kube-system

kubectl get secrets -n kube-system


Успешное выполнение этого сценария зависит от того, как был развернут tiller, иногда администраторы разворачивают его в отдельном namespace с другими привилегиями. Helm 3 не подвержен таким уязвимостям, т.к. в нем нет tiller.


Примечание переводчика: использование сетевых политик для фильтрации трафика в кластере помогает защитится от уязвимостей подобного типа.

Теги:
Хабы:
Всего голосов 18: ↑14 и ↓4 +10
Просмотры 3.1K
Комментарии 3
Комментарии Комментарии 3

Информация

Дата основания
Местоположение
Россия
Сайт
southbridge.io
Численность
51–100 человек
Дата регистрации
Представитель
Антон Скобин