Kubecon North America 2021 – "Kubernetes Exposed! Seven of Nine Hidden Secrets That Will Give You... Ian Coldwater & Brad Geesaman". Спикеры представили несколько интересных приемов, которые могут быть полезны при проведении пентестов.Наше внимание приковал трюк с обходом
Policy Engine – для того чтобы его повторить атакующий должен иметь права на создание Pods и Services с External IP.Для начала необходимо создать
Deployment с nginx и Service с External IP с выставленными Pod IP и Service IP от Kyverno. Суть атаки состоит в том, чтобы заскейлить nginx до 2 реплик, попробовать создать Pod в обход политики Policy Engine и заскейлить nginx до 3 реплик, а после опять до 2. Это необходимо для того чтобы заставить kube-proxy сбросить iptables и увеличить шансы на деплой в обход политики Policy Engine.Через какое-то время
Kyverno попадает под Leader Election и вырубается, в этот момент создается Bad Pod.Ознакомиться со слайдами можно тут, а посмотреть доклад тут.