k8s (in)security

Public

Не можете присоединиться? @k8security

12.8k Участники

Обновлено: May 25, 2026 at 1:07 AM

k8s (in)security

Канал о (не)безопасности Kubernetes + микросервисных, контейнеризированных приложений. Ведет команда www.luntry.ru Вопросы, идеи, предложения => @Qu3b3c https://knd.gov.ru/license?id=673ddbc21039886b1d03b7ce®istryType=bloggersPermission

@k8security is a dedicated channel for qu3b3c and wwwluntryru with regular updates in Нетворкинг

Рейтинг

Глобальный рейтинг

#7099

+106

Рейтинг по языку

#4553

+92

Рейтинг по категории

#154

Рост участников (Последние 30 дней)

Всего: 12.8K

Рост за 24ч: +0 0%

Последние посты

k8s (in)security

18 мар. 2026 г., 10:37

📷 Photo

https://github.com/aquasecurity/trivy/discussions/10265 произошла в рамках крупной автоматизированной кампании атак на CI/CD пайплайны GitHub Actions. Автономный бот под именем hackerbot-claw, описываемый как агент на базе Claude Opus 4.5, сканировал публичные репозитории на предмет уязвимых workflow и использовал различные техники, чтобы добиться выполнения произвольного кода и похитить токены с правами записи. В результате он получил доступ к Trivy через ошибочно настроенный pull_request_target workflow и ворованным токеном инициировал удаление релизов и другие изменения.

Атака затронула https://www.stepsecurity.io/blog/hackerbot-claw-github-actions-exploitation. В кампании были задействованы репозитории Microsoft, DataDog, CNCF проект akri, awesome-go с 140 000+ звезд и другие. В ряде случаев бот добивался удалённого выполнения кода и кражи GITHUB_TOKEN. hackerbot-claw открывал десятки PR, иногда внедрял полезную нагрузку через имена веток или модификации файлов, и вёл собственный лог активности.

Команда Aqua Security уже устранила уязвимость и восстановила Trivy. Уязвимый workflow был удалён, скомпрометированные токены отозваны, вредоносный артефакт VSCode расширения удалён, а новая версия Trivy (v0.69.2) опубликована.

9,030

k8s (in)security

18 мар. 2026 г., 10:37

📷 Photo

" https://soc-inspiration.medium.com/upgrade-aws-csi-drivers-in-your-multi-tenant-kubernetes-cluster-a2cbc47e47f8" - интересная короткая история из 2025, которая рассказывает как DaemonSet с неочевидными правами в ServiceAccount способен свести на нет multi-tenancy на базе node isolation. В общем, хороший урок о важности анализировать права в RBAC.

3,510

k8s (in)security

18 мар. 2026 г., 10:37

📷 Photo

https://github.com/guardon-dev/guardon — это расширение для https://chromewebstore.google.com/detail/guardon-—-developer-first/jhhegdmiakbocegfcfjngkodicpjkgpb, которое проверяет YAML файлы K8s на соответствие политикам и при этом не требует настройки инфраструктуры или изменений в ваших пайплайнах.

Вы просто устанавливаете его и открываете любой YAML-файл в веб-интерфейсе GitHub или GitLab. Проверка запускается в один клик.

Guardon меняет правила игры, перенося безопасность прямо в браузер (Весь анализ происходит локально в вашем браузере - никакой утечки информации). Это Shift Left в чистом виде: вы ловите ошибки в тот момент, когда смотрите код, сокращая время выхода продукта на рынок за счет мгновенного фидбека.

Найти ошибку — это только 50% дела. Guardon экономит время, предлагая функцию Smart fix suggestions. Патчи в двух видах Preview patch и Copy snippet.

При этом под капотом у инструмента всем хорошо знакомые движки: Open Policy Agent (OPA) (rego правила) и Kyverno политики. Политики от Kyverno он еще позволяет легко импортировать!

k8s (in)security

18 мар. 2026 г., 10:37

📷 Photo

https://isovalent.com/blog/post/cilium-119-ztunnel-transparent-encryption-multi-pool-ipam-goes-stable-ipv6-progress-and-more/ с рядом заметных улучшений сетевого стека и безопасности, отмечая 10-летие проекта с почти 3 000 коммитов от более 1 000 контрибуторов. Основные новшества касаются прозрачного шифрования трафика: теперь можно включать Ztunnel в бета-режиме, чтобы обеспечить автоматическое шифрование и аутентификацию TCP-соединений между рабочими нагрузками без прокси сайдкаров. Также добавлены строгие режимы для IPsec и WireGuard, которые требуют, чтобы весь трафик между узлами был зашифрован.

Сетевые политики стали более выразительными и удобными в отладке, появились расширенные DNS паттерны и более безопасные значения по умолчанию для многоузловых кластеров. Multi Pool IPAM переведён в стабильный статус и теперь работает с IPsec и прямой маршрутизацией, что полезно для распределённых и сегментированных адресных пространств.

Наблюдаемость через Hubble улучшена: можно трассировать пакеты с учётом параметров шифрования и получать информацию о том, какая политика вызвала отбрасывание трафика. Всё это делает Cilium 1.19 интересным обновлением для крупных Kubernetes инсталяций с высокими требованиями к безопасности и сложным сетевым окружением.

k8s (in)security

18 мар. 2026 г., 10:37

📷 Photo

Напоминаем, что идет прием заявок на доклады https://bekon.luntry.ru/cfp и до его закрытия осталось чуть меньше месяца! Единственная конференция по безопасности контейнерных технологий ждет ваших заявок ;)

Есть 2 трека со строгим логическим разделением.

1 трек - Ингредиенты

Данный трек посвящен технологиям. Он для инженеров, кто воплощает задуманное на практике. Этот трек у нас был и в предыдущие года, и будет продолжать радовать глубокими техническими докладами.

2 трек - Рецепты

Данный трек посвящен людям, командам и процессам связанным с безопасностью контейнеров и Kubernetes. Он для С-level, Leads, которые продумывают и выстраивают все в компании.

Также есть возможность доклад ;)

P. S. Как всегда будем рады обсудить и помочь сформировать заявку если у вас есть мысль/идея, но вы не уверены в ней.

P. S. S. Будем признательны за репост!

3,200

k8s (in)security

18 мар. 2026 г., 10:37

📷 Photo

Наверно одним из самых странных или неправильных на мой взгляд (в моем топе) запросов за время консультирования по вопросам безопасности и построения систем защиты в Kubernetes был: "Нам нужно чтобы у ИТ не было возможности это видеть/понимать/контролировать/участвовать/... в процессе обеспечения безопасности в Kubernetes". Кому-то тут может быть смешно, но такое доводилось слышать не 1 раз...

При этом вспоминаем, что DevSecOps это процесс и коммуникация между разными департаментами. Также открываем https://github.com/cncf/tag-security/tree/main/community/resources/security-whitepaper/v2 и читаем, там что обеспечении безопасности в Cloud Native это кросс командная вещь и в ней участвуют и разработчики, и оперейшен команду, и команды безопасности.

Запомните, что очень важно чтобы все участники процесса разговаривали на одном языке, видели единую картину происходящего! Иначе это несогласованность, неполадки, задержки, аварии и конфликты. И в таком случае вы действительно никакой пользы, выигрыша от использования контейнеров и Kubernetes не получите ...

А вы встречались с таким запросом/ситуацией?

k8s (in)security

18 мар. 2026 г., 10:37

📷 Photo

Из статьи « https://medium.com/@win3zz/google-cloud-shell-container-escape-b69ffb46b5df» можно узнать, как исследователь разобрал архитектуру Google Cloud Shell и показал, что среда работает внутри привилегированного контейнера, а не изолированной VM. Ценность материала — в детальном реверсе окружения и пошаговой эксплуатации через механизмы ядра вроде core_pattern и hotplug.

Автору удалось добиться container escape и получить root доступ на хосте Kubernetes ноды, что фактически ломает модель изоляции Cloud Shell. При этом он всё же остался внутри инфраструктуры Google Compute Engine, то есть речь не о компрометации всей платформы, а о выходе из пользовательского контейнера.

Основной вывод: если контейнер запущен с избыточными привилегиями и доступом к чувствительным возможностям ядра, его границы становятся условными. В итоге мы работаем в «полуизолированной» среде и не можем полностью доверять её модели безопасности.

4,540

k8s (in)security

18 мар. 2026 г., 10:37

📷 Photo

https://github.com/gimlet-io/capacitor — это UI для FluxCD. Инструмент подключается к кластеру через kubeconfig и дает удобный обзор приложений, Helm релизов и всех связанных ресурсов в одном месте.

Поддерживает мультикластерность, RBAC и сравнение желаемого и фактического состояния ресурсов. Можно быстро понять, что именно задеплоено, где есть дрейф и какие изменения пришли из Git.

Хороший вариант для команд, которые используют FluxCD, но хотят больше прозрачности и контроля без перехода на другой стек.

4,000

k8s (in)security

18 мар. 2026 г., 10:37

📷 Photo

Всем, привет!

Мы рады сообщить, что мы запустили старт продаж билетов на нашу конференцию по безопасности контейнеры и Kubernetes - !

В этом году как мы писали будет ряд ! Самое важное, что максимально полезно и практично как для начинающих специалистов, так и для опытных спецов, а также как для технарей, так и для C-level!

Билеты можно купить !

3,590

k8s (in)security

18 мар. 2026 г., 10:37

📷 Photo

Вышла новая версия https://www.cncf.io/blog/2026/02/18/announcing-kyverno-1-17/

0) Сильно обновили и прокачали библиотеку политик - более 600!
1) Добавлены неймспейсные политики для мутации и генерации (NamespacedMutatingPolicy, NamespacedGeneratingPolicy) - ранее были только кластерные
2) Новые CEL политики достигли версии v1 (GA). Благодаря этому переходу команды разработчиков платформы могут уверенно перейти от политик на основе JMESPath к CEL, чтобы воспользоваться преимуществами значительно улучшенной производительности и лучшей согласованности с вышестоящими нативными политиками Kubernetes в виде ValidatingAdmissionPolicies/MutatingAdmissionPolicies.
3) Добавили новые CEL возможности и функции
4) Уход от legacy API. Policy и ClusterPolicy больше развиваться не будут, тоесть в новых версия нужно успеть сделать миграцию на CEL политики!

5,170

k8s (in)security

16 мар. 2026 г., 08:11

📷 Photo

Вы все еще используете Kubernetes Dashboard? 21 января 2026 года проект был официально закрыт и переведен в архив. Это означает прекращение активной разработки и развития инструмента.

В качестве современной альтернативы сообществу теперь рекомендуется https://headlamp.dev/ — расширяемый веб-интерфейс для работы с кластерами. Проект развивается под эгидой SIG UI и ориентирован на управление и troubleshooting в Kubernetes.

Если вы все еще используете Dashboard, самое время планировать миграцию. Headlamp предлагает более гибкую архитектуру и активную поддержку сообщества.

4,770

k8s (in)security

16 мар. 2026 г., 08:11

📷 Photo

Если вы заботитесь о сетевой безопасности своих кластеров на CNI Cilium, то вы точно по крайней мере знаете проект/сайт/портал где можно визуализировать и создавать Native и кастомные политики для CNI Cilium.

А вот если у вас CNI на базе Calico и вы используете его кастомные политики (а не Native), то инструмента такого не было можно сказать по сей день)

Встречайте проект Calico Network Policy Visualizer! Инструмент имеет знакомый и понятный интерфейс для тех кто уже работал с Network Policy Editor и учитывает много специфики Calico. Проект спокойно можно развернуть у себя локально и для своей работы никакую информацию он на сторону не отправляет.

Подробнее о проекте:
- Запись https://sbulav.github.io/kubernetes/calico-policy-visualiser/ в блоге автора
- Исходный код проекта на https://github.com/sbulav/calico-policy-visualiser
- https://sbulav.github.io/calico-visualiser/ версия проекта

В общем, это отличное дополнение к для Calico.

P. S. Большое спасибо нашему читателю за ссылку на свой замечательный проект) И не стесняйтесь делиться с нами своими pet project!

k8s (in)security

16 мар. 2026 г., 08:11

📷 Photo

Вы уже начали переход на Gateway API? Если нет и думаете над реализацией, то репозиторий https://github.com/howardjohn/gateway-api-bench вам в помощь.

Это проект с набором тестов для оценки реализации Kubernetes Gateway API: он помогает сравнивать реальное поведение разных реализаций (Cilium, Istio, Envoy, Traefik, Kong и других) в сценариях, которые не покрыты официальными тестами.

Тесты включают проверку прикрепления маршрутов, распространения маршрутов, масштабирования, обработки изменений и производительности трафика, давая объективные данные о сильных и слабых сторонах каждого контроллера.

Проект особенно полезен тем, кто выбирает или внедряет Gateway API в продакшн кластере, и хочет основывать выбор на реальных результатах, а не только на спецификации или маркетинговых обещаниях.

4,420

k8s (in)security

11 мар. 2026 г., 18:52

Недавно на канале мы про статью " https://grahamhelton.com/blog/nodes-proxy-rce", в которой https://x.com/grahamhelton3/status/2015789985459212714?s=12&t=wi36Mp-rp1YnkdF6Ro80ig показывает как получить RCE с помощью права на чтения GET (без CREATE).

Сегодня хотим поделиться способом, как можно закрыть этот мисконфиг, используя Istio.

В репозитории nodes-proxy-get-rce-fix предлагается использовать EnvoyFilter, ServiceEntry и DestinationRule для блокировки WebSocket соединения к kubelet на порт 10250.

View on X (Twitter)

4,780

k8s (in)security

11 мар. 2026 г., 18:52

📷 Photo

Вышло очередное обновление фреймворка https://github.com/Jet-Security-Team/Jet-Container-Security-Framework/releases/tag/13.02.2026 от наших друзей.

Если вы не знаете, что это, для чего это и как с этим работать, то мы еще в феврале прошлого года проводили совместный вебинар "" ( https://old.luntry.ru/wp-content/uploads/2025/02/luntry_vebinar_12_fevralya_jcsf-0.2.pdf, https://vkvideo.ru/video-211664921_456239072), где это все обсуждали и обсуждали как его можно улучшить и поправить.

4,240

k8s (in)security

10 мар. 2026 г., 13:43

📷 Photo

16 февраля 2026 в 11.00 наша команда http://www.luntry.ru/ совместно с командой платформы управления средами контейнерной оркестрации «Штурвал» проведет вебинар "Синергия безопасности Luntry и Штурвал. Часть 2"!

Luntry и Штурвал вместе создают сквозной контур безопасности для Kubernetes, который не только обнаруживает уязвимости, но и предоставляет инструменты для их оперативного устранения и даже предотвращения.

В рамках второй части мы коснёмся 2 областей:
- Контроль Kubernetes кластеров;
- Безопасность образов контейнеров.

Зарегистрироваться можно https://webinar.luntry.ru/luntry_shturval_2.

P. S. Материалы с первой части можно посмотреть https://luntry.ru/webinar_05_12_2025.

3,940

k8s (in)security

10 мар. 2026 г., 13:43

📷 Photo

Из статьи " https://matheuzsecurity.github.io/hacking/ebpf-security-tools-hacking/" можно узнать как вредоносный код на уровне ядра может ослеплять/обходить средства защиты на базе eBPF. Сам этот факт вообще не является никаким откровением. Ценность статьи в реальном разборе и демонстрации с примерами кода. Автор глубоко погружается в такие аспекты как: BPF iterators, ringbuffers и perf events.

Основной вывод: "If an attacker gains the ability to load kernel modules, they control the kernel’s view of reality. eBPF security tools run inside the kernel and thus cannot fully protect a compromised kernel. The only reliable defense is preventing kernel compromise in the first place."

По сути получаем работу в недоваренном окружение и как следствие мы уже не можем доверять информации от этой системы.

4,520

k8s (in)security

9 мар. 2026 г., 01:16

📷 Photo

На канале мы не раз рассказывали про проект Kata Containers, позволяющий запускать контейнеры в виде легковесных вирутальных машин, что в целом повышает уровень изоляции. Несмотря на это, критичные уязвимости в таких проектах тоже встречаются и https://github.com/kata-containers/kata-containers/security/advisories/GHSA-5fc8-gg7w-3g5c тому подтверждение.

Уязвимость CVE-2026-24054 в Kata Containers (High, CVSS 8.8) позволяет при использовании повреждённого или пустого контейнерного образа некорректно смонтировать rootfs, из-за чего хостовый блочный девайс может быть «подключён» внутрь VM. Это происходит из-за fallback поведения containerd и ошибки в обработке bind-mount, из-за которой runtime принимает директорию за блочное устройство. В итоге возможно повреждение файловой системы хоста и перевод его диска в режим read-only.

Атака может вызывать двойное выделение inode и другие ошибки на уровне файловой системы, что приводит к отказу в обслуживании и риску нарушения целостности системы. Уязвимость затрагивает все версии Kata Containers до 3.26.0.

Буквально, для того чтобы сложить целую Node, нужно задеплоить контейнер на базе образа из такого однострочного Dockerfile:

FROM scratch

k8s (in)security

6 мар. 2026 г., 10:19

📷 Photo

https://zotregistry.dev/ — это проект CNCF, представляющий собой OCI-native реестр образов контейнеров. Он поставляется в виде одного бинарного файла, работает без привилегий и поддерживает разные платформы. Решение включает встроенную безопасность (подписи, сканер уязвимостей), дедупликацию и аутентификацию.

И все это в 1 бинаре!

4,050

k8s (in)security

6 мар. 2026 г., 10:19

📷 Photo

https://github.com/raesene/dock-fire — это экспериментальный runtime-плагин для Docker, который запускает контейнеры внутри microVM на базе Firecracker. По сути он даёт уровень изоляции как у виртуальной машины, но сохраняет привычный workflow через docker run.

Каждый контейнер стартует в отдельной легковесной VM с собственным ядром, что повышает безопасность по сравнению с классическими namespace и cgroup изоляциями. Проект ориентирован на запуск временных workload’ов, тестирование и эксперименты.

3,970

k8s (in)security

5 мар. 2026 г., 07:15

📷 Photo

Эту рабочую неделю мы хотим закончить разбором интересной статьи под названием " https://www.rivet.dev/blog/2026-02-04-we-reverse-engineered-docker-sandbox-undocumented-microvm-api/".

Возможно вы не знали, но Docker решил https://www.docker.com/blog/docker-sandboxes-a-new-approach-for-coding-agent-safety/ не только контейнеры, но и MicroVM (облегченные виртуальные машины с собственным ядром). проект называется https://docs.docker.com/ai/sandboxes/.

Технологий закрытая и исследователи ее разреверсили и добились того, что кроме заранее определённых AI-агентов там можно теперь запускать свое любое! Изначально создатели Docker Sandboxes целиться только в запуск там: Claude, Codex, Gemini, Copilot, Kiro и Cagent. Но теперь можно что угодно ;)

Ранее мы уже о подобном, но только от Google под названием Agent Sandbox.

Но есть серьезная разница в том, что проект от Google работает на Linux, то эта реализация только на Docker Desktop 4.58+ на macOS и Windows. Linux не поддерживается, так как реализация опирается на платформенные фреймворки виртуализации: Apple Virtualization.framework на macOS и Hyper-V на Windows. Для работы функции требуется поддержка вложенной виртуализации (nested virtualization).

k8s (in)security

3 мар. 2026 г., 19:54

📷 Photo

https://github.com/Adyen/kubectl-rexec — это небольшой плагин для kubectl, который позволяет повторно подключаться (re-exec) к уже запущенному контейнеру в Kubernetes. Он решает ту проблему, когда kubectl exec рвётся из-за сетевых проблем или таймаутов.

Плагин сохраняет контекст сессии и даёт возможность продолжить работу без повторного запуска команды. Это особенно полезно для долгих отладочных сессий, миграций или ручных операций в продакшене.

4,620

k8s (in)security

2 мар. 2026 г., 18:47

📷 Photo

https://github.com/Manoj-engineer/k8squest — это локальный симулятор для обучения Kubernetes через практику. Игроки решают 50 задач по отладке (Pods, Networking, RBAC) на кластерах kind или k3d. Платформа бесплатна, не требует облаков и включает систему опыта (XP), подсказки и разборы реальных инцидентов.

В пятом и последнем разделе есть немного задачек по безопасности, связанные с:
- RBAC (ServiceAccounts, Roles, RoleBindings)
- SecurityContext, Pod Security Standards (restricted)
- ResourceQuotas, NetworkPolicies, node scheduling
- Taints/Tolerations, PodDisruptionBudgets, PriorityClass

7,760

k8s (in)security

1 мар. 2026 г., 16:53

📷 Photo

Ingress-nginx свои последние дни, но это не мешает появляться новым уязвимостям – CVE-2026-1580, CVE-2026-24512, CVE-2026-24513, CVE-2026-24514.

Две уязвимости уже ставшие классическими для этого решения – configuration injection с последующим RCE внутри контейнера с ingress-nginx. Еще одна уязвимость также – configuration injection с последующим обходом auth-url protection. И DoS Admission Controller.

Все четыре уязвимости оценены как High и имеют оценку 8.8 по CVSS.

Конечно, вы можете обновиться на версию v1.13.7 или v1.14.3, но мы крайне рекомендуем переезжать на API Gateway.

5,040

k8s (in)security

27 февр. 2026 г., 03:10

📷 Photo

Контейнеры, их спецификации и форматы уже давно вышли за рамки просто запуска контейнерных приложений. И сегодняшний проект очередное этому подтверждение.

https://github.com/bootc-dev/bootc - это инструмент для транзакционного обновления ОС через OCI/Docker-образы. Он позволяет использовать контейнеры как формат доставки загрузочного ядра и базовой системы. Проект написан на Rust, входит в состав CNCF и поддерживает стабильный CLI для разных дистрибутивов.

По использованию можно посмотреть https://habr.com/ru/companies/jetinfosystems/articles/958568/.

4,260

k8s (in)security

25 февр. 2026 г., 13:15

Wiz представила https://wiz-sec-public.github.io/SITF/techniques-library.html (SDLC Infrastructure Threat Framework) — первую в мире открытую модель угроз, специально ориентированную на защиту инфраструктуры жизненного цикла разработки программного обеспечения. Эта инфраструктура (IDE, VCS, CI/CD, Registry) становится привлекательной целью для атак не только на код, но и на сами процессы сборки и доставки ПО.

SITF предлагает визуализатор потоков атак, библиотеку из более чем 70 техник атак с привязкой к рискам и средствам защиты, а также причинно-следственное сопоставление. Это позволяет командам не просто фиксировать инциденты, а понимать и разрывать цепочки атак на ранних стадиях.

5,640

k8s (in)security

24 февр. 2026 г., 06:06

https://github.com/AkihiroSuda/gomodjail/ - это песочница для Go модулей. Она ограничивает syscall, используя seccomp и symbol tables. Это похоже на контейнер для модулей, но с более точной гранулярностью чем у docker контейнеров. Тоесть тут ограничения применяется не ко всему процессу приложения, а к конкретной библиотеке, что в нем используется. Подробнее можно почитать из статьи " https://medium.com/nttlabs/gomodjail-library-sandboxing-for-go-modules-451b22d02700".

Это хороший митигейшен для supply chain атак ... в условия множества сторонних недоверенных библиотек.

Данный проект можно хорошо сочетать с проектом https://github.com/google/capslock о котором мы писали и представляет из себя инструмент capability analysis для Go приложений.

4,690

k8s (in)security

24 февр. 2026 г., 06:06

С гордостью можем сказать, что наша образовательная инициатива живет и развивается.

Речь, конечно, тут про https://luntry.ru/initiatives/curation и помощь в научно-исследовательской деятельности в области безопасности контейнеризации и Kubernetes.

И если вы только что узнали об этом и хотели бы поучаствовать, то можете смело заполнять анкету на сайте и мы с вами свяжемся (места еще позволяют).

3,610

k8s (in)security

24 февр. 2026 г., 06:06

Продолжаем эту неделю с двух серьезных уязвимостей в Kyverno.

1) https://github.com/advisories/GHSA-r2rj-wwm5-x6mq.

Используя комбинацию из функций random() и join() в jmesPath, злоумышленник с возможностью создавать политики Kyverno может устроить DoS для admission controller. Если failurePolicy установлен в Ignore, это открывает возможность злоумышленнику деплоить нагрузки в обход политик.

2) https://github.com/advisories/GHSA-8p9x-46gm-qfx2.

В Kyverno есть функционал, позволяющий обращаться в политике к Kubernetes API – apiCall. Эти обращения выполняются от имени высокопривелигрованного Service Account Kyverno, что позволяет читать содержимое Secrets и Configmaps из других неймспейсов. Злоумышленник, обладая правами на создание политик в рамках выделенного неймспейса может прочитать секреты из других неймспейсов и повысить свои привилегии.

Уязвимости присвоена оценка 10/10 по CVSS.

P. S – исправления доступны в версиях 1.15.3 и 1.16.3.

P. P. S – эксплойты для этих уязвимостей содержатся в описании к GHSA.

4,500

k8s (in)security

20 февр. 2026 г., 01:28

Сегодня в центре внимания статья " https://grahamhelton.com/blog/nodes-proxy-rce".

Из названии статьи уже понятно, что https://x.com/grahamhelton3/status/2015789985459212714?s=12&t=wi36Mp-rp1YnkdF6Ro80ig показывает как получить RCE с помощью права на чтения GET (без CREATE).

По сути это аналогичная ситуация как и с pods/exec (о которой мы писали ). И при этом ситуации с pods/exec уже починили (правда спустя время), а тут разработчики отказались и сказали что все штатно ... (но может также еще передумают).

Из дополнительных ресурсов:
- https://gist.github.com/grahamhelton/f5c8ce265161990b0847ac05a74e466a для анализа кластера на наличие таких прав у SA
- https://labs.iximiuz.com/tutorials/nodes-proxy-rce-c9e436a9 для изучения данной ситуации

View on X (Twitter)

4,190

Showing 30 of 100 posts

Рейтинг

Требуется вход

Отзывы пользователей (0)

Пока нет отзывов. Будьте первым, кто поделится своим опытом!

k8s (in)security

k8s (in)security

Рейтинг

Рост участников (Последние 30 дней)

Последние посты

Рейтинг

Отзывы пользователей (0)

Похожие каналы Telegram

Random Open Science

Сердце 🧡 Сообщества

Чат для общения

Студия Никитина | event | нейросети

Прокси тут

Techlead Russia

Помощь подключение

Градостроительный комплекс Москвы

Похожие каналы Telegram

Random Open Science

Сердце 🧡 Сообщества

Чат для общения

Студия Никитина | event | нейросети

Прокси тут

Techlead Russia

Помощь подключение

Градостроительный комплекс Москвы

Отзывы пользователей (0)

Последние посты