Привет!

Недавно (13.09.2021) появилась новость про CVE-2021-25741 в Kubernetes (получила уровень критичности High), которая позволяет «create a container with subpath volume mounts to access files & directories outside of the volume, including on the host filesystem».

Подверженные версии: v1.22.0 - v1.22.1; v1.21.0 - v1.21.4; v1.20.0 - v1.20.10; <= v1.19.14

Уязвимость можно эксплуатировать, даже если администраторы ограничили возможность mount'a hostPath: «Exploitation allows hostPath-like access without use of the hostPath feature, thus bypassing the restriction».

Рекомендации по профилактике: «Disable the VolumeSubpath feature gate on kubelet and kube-apiserver, and remove any existing Pods making use of the feature».

Больше информации можно найти по ссылке на github, статье и в материалах cve.report