kubectl が world-writeable なキャッシュされたスキーマファイルを生成する

この脆弱性を悪用されると、攻撃者はkubectlが使用するキャッシュファイルを改ざんし、Kubernetesクラスタへのアクセスを妨害したり、誤った情報をkubectlに提供したりする可能性があります。これにより、クラスタの管理者が誤った判断を下し、セキュリティ上の問題を引き起こす可能性があります。また、攻撃者はキャッシュファイルを監視することで、機密情報（APIリクエストなど）を盗み出す可能性も考えられます。この脆弱性は、特に共有ホスト環境や、kubectlのキャッシュディレクトリのアクセス権が適切に設定されていない環境において、深刻な影響を与える可能性があります。

Kubernetes clusters running versions 1.8.0 through 1.14.x are at risk, particularly those where the --cache-dir flag is used with a directory accessible to multiple users or groups. Shared hosting environments and clusters with less stringent access controls are especially vulnerable.

• linux / server:

find /home/$USER/.kube/http-cache -perm -o=rwxrwxrwx

• kubernetes / cluster: Check kubectl configuration files for the --cache-dir flag and verify the permissions of the specified directory.

1. 2019-04-22Disclosure

   disclosure

1. 予約済み2019-04-17
2. 公開日2019-04-22
3. 更新日2024-08-04
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、Kubernetesをv1.14*以降のバージョンにアップグレードすることが推奨されます。アップグレードが困難な場合は、kubectlのキャッシュディレクトリのアクセス権を制限し、他のユーザーやグループからの書き込みを禁止してください。具体的には、--cache-dirオプションを使用して、アクセス権が制限されたディレクトリを指定することが有効です。また、WAFやIPSなどのセキュリティ対策を導入し、kubectlの通信を監視することで、不正なアクセスを検知することも有効です。