CNI Cilium:1. Cilium-agent container can access the host via `hostPath` mount – если у атакующего существует возможность изменять используемые images в
Workloads, подменив image в cilium-agent, он может получить доступ к директории /opt/cni/bin на Node через hostPath.2. Cilium eBPF filters may be temporarily removed during agent restart – во время рестарта агента
Cilium есть небольшой промежуток времени, когда eBPF функционал недоступен. В этот момент злоумышленник, например, обойти Network Policy.3. Potential network policy bypass when routing IPv6 traffic – при определенных условиях
Cilium может ошибочно присвоить source IP-адрес кластеру, идентифицируя внешний трафик как исходящий от хоста, на котором работает Cilium. Как следствие, это может привести к обходу Network Policy.Уязвимости затграгивают разные версии, необходимые патчи уже выпущены. Самое время обновиться.