Заканчиваем эту неделю с тремя новыми уязвимостями в Kubernetes:

1) CVE-2023-2431: Bypass of seccomp profile enforcement. Если у вас есть Pods, которые используют localhost type для seccomp, но сам по себе профиль пустой, это позволяет запускать Pod в unconfined режиме. Затрагивает версии:

- v1.27.0 - v1.27.1
- v1.26.0 - v1.26.4
- v1.25.0 - v1.25.9
- <= v1.24.13

2) CVE-2023-2727: Bypassing policies imposed by the ImagePolicyWebhook admission plugin. Благодаря этой уязвимости можно обойти ImagePolicyWebhook, используя ephemeralContainers. Но, если используете PolicyEngine – ничего не получится.
Затрагивает версии:

- kube-apiserver v1.27.0 - v1.27.2
- kube-apiserver v1.26.0 - v1.26.5
- kube-apiserver v1.25.0 - v1.25.10
- kube-apiserver <= v1.24.14

3) CVE-2023-2728: Bypassing enforce mountable secrets policy imposed by the ServiceAccount admission plugin. Позволяет обойти монтирование ServiceAccount token внутрь ephemeralContainers. Однако для этого нужно, чтобы в кластере был включен ServiceAccount admission plugin, у ServiceAccount была проставлена аннотация kubernetes.io/enforce-mountable-secrets (она не стоит по дефолту) и впринципе в Pod должен использоваться ephemeral container.
Затрагивает версии:

- kube-apiserver v1.27.0 - v1.27.2
- kube-apiserver v1.26.0 - v1.26.5
- kube-apiserver v1.25.0 - v1.25.10
- kube-apiserver <= v1.24.14