Kubernetes кластере.По сути,
CSR API позволяет (одна из возможностей) подписывать сертификаты, которые могут быть использованы пользователями для аутентификации в Kubernetes API server. В итоге повышение привилегий сводится к тому, что атакующий с возможностью создавать такие сертификаты для подходящего для его целей пользователя или группы создает сертификат и далее с ним входит в систему - game over!Необходимо выполнение нескольких условий:
1) Атакующий в
RBAC должен иметь права на отправку CSR 2) Атакующий в
RBAC должен иметь права на одобрение CSR
3) Атакующий должен правильно выбрать существующего пользователя или группу для которого генерирует сертификат, чтобы он мог что ему надо или поднять привилегии еще дальше (типа через escalate для ClusterRole)Вот так вот сморишь
CSR API не понимаешь его до конца, а оно вон что позволяет вытворять ;)