kubectl 创建了全局可写的缓存模式文件

此漏洞允许具有对 --cache-dir 目录写入权限的用户或组，修改 kubectl 缓存的 schema 信息。攻击者可以利用此漏洞来篡改 kubectl 的行为，例如，使其返回错误信息或执行未经授权的操作。虽然该漏洞的 CVSS 评分为低，但如果攻击者能够控制受影响的 Kubernetes 集群，则可能造成严重后果。攻击者可能利用此漏洞进行横向移动，访问敏感数据，甚至完全控制集群。该漏洞的潜在影响类似于其他权限提升漏洞，攻击者可以利用其获取更高的权限。

Kubernetes clusters running versions 1.8.0 through 1.14.x are at risk, particularly those where the --cache-dir flag is used with a directory accessible to multiple users or groups. Shared hosting environments and clusters with less stringent access controls are especially vulnerable.

• linux / server:

find /home/$USER/.kube/http-cache -perm -o=rwxrwxrwx

• kubernetes / cluster: Check kubectl configuration files for the --cache-dir flag and verify the permissions of the specified directory.

1. 2019-04-22Disclosure

   disclosure

1. 已保留2019-04-17
2. 发布日期2019-04-22
3. 修改日期2024-08-04
4. EPSS 更新日期2026-04-02

缓解此漏洞的关键是限制对 kubectl 缓存目录的访问权限。首先，避免使用默认的缓存目录，并将其更改为仅由 kubectl 用户可访问的位置。其次，确保 Kubernetes 集群的安全配置，限制用户对集群资源的访问权限。如果无法立即升级到 v1.14.x，可以考虑使用 AppArmor 或 SELinux 等安全模块来限制 kubectl 进程的权限。此外，定期审查 Kubernetes 集群的配置，确保没有不必要的权限授予。升级后，请验证 kubectl 是否正常工作，并检查缓存目录的权限是否正确设置。