Разбиване на клъстер на Kubernetes с помощта на румпел Helm v2

Helm е мениджър на пакети за Kubernetes, нещо подобно apt-get за Ubuntu. В тази бележка ще видим предишната версия на helm (v2) с услугата tiller, инсталирана по подразбиране, чрез която ще имаме достъп до клъстера.

Нека подготвим клъстера; за да направите това, изпълнете командата:

kubectl run --rm --restart=Never -it --image=madhuakula/k8s-goat-helm-tiller -- bash

демонстрация

• Ако не конфигурирате нищо допълнително, helm v2 стартира услугата tiller, която има RBAC с пълни права на администратор на клъстера.
• След инсталиране в namespace kube-system появява tiller-deploy, и също така отваря порт 44134, свързан към 0.0.0.0. Това може да се провери с помощта на telnet.

$ telnet tiller-deploy.kube-system 44134

• Сега можете да се свържете с услугата румпел. Ще използваме двоичния файл на кормилото, за да извършваме операции, когато комуникираме с услугата tiller:

$ helm --host tiller-deploy.kube-system:44134 version

• Нека се опитаме да получим тайните на клъстера на Kubernetes от пространството на имената kube-system:

$ kubectl get secrets -n kube-system

• Сега можем да създадем своя собствена диаграма, в която ще създадем роля с администраторски права и ще присвоим тази роля на акаунта за услуга по подразбиране. Използвайки токена от този сервизен акаунт, получихме пълен достъп до нашия клъстер.

$ helm --host tiller-deploy.kube-system:44134 install /pwnchart

• Сега кога pwnchart разгърнат, сервизният акаунт по подразбиране има пълен административен достъп. Нека да проверим отново как да получим тайни от kube-system

kubectl get secrets -n kube-system

Успешното изпълнение на този скрипт зависи от това как тилерът е бил разгърнат; понякога администраторите го разгръщат в отделно пространство от имена с различни привилегии. Helm 3 не е податлив на подобни уязвимости, защото... в него няма румпел.

Бележка на преводача: Използването на мрежови правила за филтриране на трафика в клъстер помага за защита срещу този тип уязвимости.

Източник: www.habr.com