Unpatchable Vulnerabilities of Kubernetes: CVE-2020-8562 – очередная статья про unpatchable CVE в Kubernetes. Речь о баге в API server proxy, который позволяет обойти защитные фильтры и обращаться к внутренним сервисам кластера через SSRF подобную атаку.

Kubernetes дважды резолвит DNS (для проверки и для запроса), и атакующий может подменить ответ между этими шагами. Это дает возможность обходить ограничения и получать доступ к чувствительным ресурсам вроде localhost или metadata сервисов через DNS rebinding.

Эксплуатация требует повышенных прав (например, создание Node и доступ к proxy). Полностью устранить проблему нельзя — только снизить риски (например, через минимальный TTL DNS или Konnectivity).

📌 Подробнее: https://securitylabs.datadoghq.com/articles/unpatchable-kubernetes-vulnerabilities-cve-2020-8562/

MemOps 🤨