CVE-2017-1000056

Privilege escalation w Kubernetes PodSecurityPolicy admission plugin

CVSS 9.8v3.0pub. 2017-07-17upd. 2026-05-13

Kubernetes w wersjach 1.5.0–1.5.4 zawiera podatność privilege escalation w pluginie admisji PodSecurityPolicy, umożliwiającą nieautoryzowane wykorzystanie dowolnego istniejącego obiektu PodSecurityPolicy. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co oznacza bardzo wysokie ryzyko dla środowisk klastrowych.

▸ Pokaż oryginał (EN)

Kubernetes version 1.5.0-1.5.4 is vulnerable to a privilege escalation in the PodSecurityPolicy admission plugin resulting in the ability to make use of any existing PodSecurityPolicy object.

🤖 Analiza AI

Jak działa

Podatność wynika z brakującej kontroli autoryzacji (CWE-862) w pluginie admisji PodSecurityPolicy. Plugin nie weryfikuje poprawnie uprawnień podmiotu żądającego do korzystania z konkretnego obiektu PodSecurityPolicy. W efekcie atakujący bez odpowiednich uprawnień może odwołać się do dowolnego istniejącego obiektu PodSecurityPolicy i skorzystać z uprawnień w nim zdefiniowanych.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do dowolnej polityki bezpieczeństwa podów (PodSecurityPolicy) w klastrze, co może prowadzić do uruchamiania kontenerów z podwyższonymi uprawnieniami, ucieczki z kontenera lub przejęcia kontroli nad węzłami klastra.

Mitygacja

Należy zaktualizować Kubernetes do wersji powyżej 1.5.4. Szczegóły dotyczące patcha dostępne są w referencjach producenta: https://github.com/kubernetes/kubernetes/issues/43459