kubectl cria arquivos de esquema em cache com permissões de escrita global

A principal consequência desta vulnerabilidade é a possibilidade de interrupção do kubectl, a ferramenta de linha de comando para interagir com o cluster Kubernetes. Um atacante com acesso ao sistema pode modificar os arquivos de cache, levando a erros na comunicação com o cluster, falhas na aplicação de configurações ou até mesmo a negação de serviço. Embora a severidade seja classificada como baixa, o impacto pode ser significativo em ambientes de produção, especialmente se o cluster for crítico para as operações da organização. A exploração bem-sucedida requer acesso ao sistema onde o kubectl está sendo executado e a capacidade de modificar os arquivos no diretório de cache.

Kubernetes clusters running versions 1.8.0 through 1.14.x are at risk, particularly those where the --cache-dir flag is used with a directory accessible to multiple users or groups. Shared hosting environments and clusters with less stringent access controls are especially vulnerable.

• linux / server:

find /home/$USER/.kube/http-cache -perm -o=rwxrwxrwx

• kubernetes / cluster: Check kubectl configuration files for the --cache-dir flag and verify the permissions of the specified directory.

1. 2019-04-22Disclosure

   disclosure

1. Reservado2019-04-17
2. Publicada2019-04-22
3. Modificada2024-08-04
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar o Kubernetes para uma versão corrigida (v1.14 ou superior). Se a atualização imediata não for possível, considere restringir as permissões do diretório de cache (--cache-dir) para que apenas o usuário que executa o kubectl tenha acesso de escrita. Outra medida é monitorar o diretório de cache em busca de modificações inesperadas. Em ambientes com alta segurança, desabilitar o cache do kubectl pode ser uma opção, embora isso possa impactar o desempenho. Após a atualização, confirme a correção verificando a versão do Kubernetes e a integridade dos arquivos de cache.