Local Path Provisioner kwetsbaar voor Path Traversal via parameters.pathPattern

De impact van deze kwetsbaarheid is significant. Een succesvolle exploitatie kan leiden tot het overschrijven van gevoelige bestanden op de host node, waardoor een aanvaller mogelijk toegang kan krijgen tot onbedoelde directories en de integriteit van het systeem kan compromitteren. Dit kan resulteren in dataverlies, ongeautoriseerde toegang tot resources en mogelijk zelfs de volledige controle over de Kubernetes node. De mogelijkheid om willekeurige bestanden te overschrijven, maakt dit een ernstige bedreiging voor de beveiliging van Kubernetes clusters.

Kubernetes clusters utilizing the Rancher Local Path Provisioner are at risk, particularly those with misconfigured storage class definitions or environments where users have the ability to modify storage class parameters. Shared Kubernetes environments and those with legacy storage class configurations are especially vulnerable.

• linux / server:

journalctl -u local-path-provisioner --grep 'pathPattern='

• linux / server:

find /var/lib/kubelet/pods -name '*pathPattern=*'

• generic web: Inspect Kubernetes storage class configurations for unusual or suspicious pathPattern values. Look for patterns that include relative path components (e.g., ../).

1. 2026-02-04Disclosure

   disclosure

1. Gereserveerd2025-10-24
2. Gepubliceerd2026-02-04
3. Gewijzigd2026-02-28
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden van de Rancher Local Path Provisioner naar versie 0.0.34 of hoger. Als een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de rechten van gebruikers die StorageClass configuraties kunnen wijzigen. Implementeer strikte toegangscontroles en monitor de Kubernetes audit logs op verdachte activiteiten. Het is ook aan te raden om een Web Application Firewall (WAF) te gebruiken die inkomend verkeer kan filteren en pogingen tot path traversal kan detecteren. Na de upgrade, verifieer de correcte werking door een nieuwe PersistentVolume aan te vragen met een valide pathPattern en controleer of deze correct wordt gecreëerd.