🔑 По данным Unit 42, кражи Kubernetes-токенов выросли на 282% за год. Причина — сервисные аккаунты имеют прав больше, чем нужно.
Эскалация привилегий в Kubernetes — это не про эксплойты, а про легитимные API-вызовы с избыточными разрешениями. Пять ключевых прав:
•
create pods — запускаешь под с чужим SA•
get secrets — читаешь токены напрямую•
bind / escalate — назначаешь себе cluster-admin⚙️ После попадания в под —
kubectl auth can-i --list. Если видишь хотя бы два из этих разрешений, namespace скомпрометирован. Projected token живёт ~1 час — этого хватает.В статье — пошаговый разбор от извлечения SA-токена до cluster-admin через RBAC misconfigurations.
https://codeby.net/threads/kubernetes-privilege-escalation-ot-skomprometirovannogo-poda-do-cluster-admin-cherez-rbac.92687/