unpatchable CVE в Kubernetes. Речь о баге в API server proxy, который позволяет обойти защитные фильтры и обращаться к внутренним сервисам кластера через SSRF подобную атаку.Kubernetes дважды резолвит DNS (для проверки и для запроса), и атакующий может подменить ответ между этими шагами. Это дает возможность обходить ограничения и получать доступ к чувствительным ресурсам вроде localhost или metadata сервисов через DNS rebinding.Эксплуатация требует повышенных прав (например, создание
Node и доступ к proxy). Полностью устранить проблему нельзя — только снизить риски (например, через минимальный TTL DNS или Konnectivity).