Local Path Provisioner vulnérable à une attaque de traversal de chemin via les paramètres.pathPattern

L'impact de cette vulnérabilité est significatif. Un attaquant peut, en manipulant le paramètre parameters.pathPattern, créer des PersistentVolumes dans des emplacements non autorisés sur le nœud hôte. Cela pourrait permettre l'écrasement de fichiers de configuration critiques, l'accès à des données sensibles stockées sur le nœud, ou même la compromission complète du nœud lui-même. La capacité de créer des volumes arbitraires contourne les mécanismes de contrôle d'accès et d'isolation normalement en place dans Kubernetes. Cette vulnérabilité présente un risque élevé de compromission de la confidentialité, de l'intégrité et de la disponibilité des données et des applications hébergées dans le cluster.

Kubernetes clusters utilizing the Rancher Local Path Provisioner are at risk, particularly those with misconfigured storage class definitions or environments where users have the ability to modify storage class parameters. Shared Kubernetes environments and those with legacy storage class configurations are especially vulnerable.

• linux / server:

journalctl -u local-path-provisioner --grep 'pathPattern='

• linux / server:

find /var/lib/kubelet/pods -name '*pathPattern=*'

• generic web: Inspect Kubernetes storage class configurations for unusual or suspicious pathPattern values. Look for patterns that include relative path components (e.g., ../).

1. 2026-02-04Disclosure

   disclosure

1. Réservé2025-10-24
2. Publiée2026-02-04
3. Modifiée2026-02-28
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour le composant github.com/rancher/local-path-provisioner vers la version 0.0.34 ou supérieure. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à restreindre les permissions de l'utilisateur ou du service Kubernetes qui peut créer des PersistentVolumes. Il est également possible de configurer un Web Application Firewall (WAF) ou un proxy inverse pour filtrer les requêtes malveillantes qui tentent de manipuler le paramètre parameters.pathPattern. Surveillez attentivement les journaux d'audit Kubernetes pour détecter toute tentative de création de PersistentVolumes non autorisés. Après la mise à jour, vérifiez la configuration du StorageClass pour vous assurer que le paramètre pathPattern est correctement configuré et ne permet pas de traversal de chemin.