container.roles.escalate | container.clusterRoles.escalate

Kubernetes po defaultu sprečava subjekte da kreiraju ili ažuriraju Roles i ClusterRoles sa većim privilegijama od onih koje subjekt poseduje. Međutim, GCP subjekt sa tim dozvolama će moći da kreira/ažurira Roles/ClusterRoles sa većim privilegijama nego što je imao, efektivno zaobilazeći Kubernetes zaštitu protiv ovog ponašanja.

container.roles.create i/ili container.roles.update ILI container.clusterRoles.create i/ili container.clusterRoles.update respektivno su takođe neophodne za izvođenje tih akcija eskalacije privilegija.

container.roles.bind | container.clusterRoles.bind

Kubernetes po defaultu sprečava subjekte da kreiraju ili ažuriraju RoleBindings i ClusterRoleBindings kako bi dodelili veće privilegije od onih koje subjekt ima. Međutim, GCP subjekt sa tim dozvolama će moći da kreira/ažurira RolesBindings/ClusterRolesBindings sa većim privilegijama nego što ih ima, efektivno zaobilazeći Kubernetes zaštitu protiv ovog ponašanja.

container.roleBindings.create i/ili container.roleBindings.update ILI container.clusterRoleBindings.create i/ili container.clusterRoleBindings.update respektivno su takođe neophodne za izvođenje tih akcija eskalacije privilegija.

container.cronJobs.create | container.cronJobs.update | container.daemonSets.create | container.daemonSets.update | container.deployments.create | container.deployments.update | container.jobs.create | container.jobs.update | container.pods.create | container.pods.update | container.replicaSets.create | container.replicaSets.update | container.replicationControllers.create | container.replicationControllers.update | container.scheduledJobs.create | container.scheduledJobs.update | container.statefulSets.create | container.statefulSets.update

Sve ove dozvole će vam omogućiti da kreirate ili ažurirate resurs u kome možete definisati pod. Definišući pod možete specificirati SA koji će biti prikačen i image koji će biti pokrenut, pa tako možete pokrenuti image koji će eksfiltrirati token SA na vaš server i omogućiti vam eskalaciju na bilo koji Service Account.
Za više informacija pogledajte:

Pošto smo u GCP okruženju, takođe ćete moći da dobijete nodepool GCP SA iz metadata servisa i eskalirate privilegije u GCP (po defaultu se koristi compute SA).

container.secrets.get | container.secrets.list

Kao objašnjeno na ovoj stranici, sa ovim dozvolama možete čitati tokene svih Kubernetes SA, tako da možete eskalirati na njih.

container.pods.exec

Sa ovom dozvolom moći ćete da exec u pods, što vam daje pristup svim Kubernetes SA koji rade u pod-ovima da eskalirate privilegije unutar K8s, ali takođe ćete moći da ukradete GCP Service Account od NodePool-a, eskalirajući privilegije u GCP.

container.pods.portForward

Kao objašnjeno na ovoj stranici, sa ovom dozvolom možete pristupiti lokalnim servisima koji rade u pods i koji vam mogu omogućiti eskalaciju privilegija u Kubernetes (i u GCP ako, na neki način, uspete da komunicirate sa metadata servisom).

container.serviceAccounts.createToken

Zbog imena dozvole, deluje da će vam omogućiti da generišete tokene K8s Service Account-a, pa biste mogli da privesc na bilo koji SA unutar Kubernetes. Međutim, nisam pronašao nijedan API endpoint za njenu upotrebu, pa javite ako ga nađete.

container.mutatingWebhookConfigurations.create | container.mutatingWebhookConfigurations.update

Ove dozvole mogu omogućiti eskalaciju privilegija u Kubernetes, ali mnogo verovatnije ih možete zloupotrebiti da biste se persistirali u klasteru.
Za više informacija pogledajte ovaj link.

Tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks

• Proverite planove pretplate!
• Pridružite se 💬 Discord grupi ili telegram grupi ili pratite nas na Twitteru 🐦 @hacktricks_live.
• Podelite hakerske trikove slanjem PR-ova na HackTricks i HackTricks Cloud github repozitorijume.