Kubernetes OPA Gatekeeper bypass

Bu sayfanın orijinal yazarı Guillaume

Yanlış yapılandırmayı istismar etme

Kuralları listeleme

Aktif olan kuralların, hangi modda olduklarının ve kimin bunları atlayabileceğini bilmek için bir genel bakışa sahip olmak faydalı olabilir.

CLI ile

$ kubectl api-resources | grep gatekeeper
k8smandatoryannotations                                                             constraints.gatekeeper.sh/v1beta1                  false        K8sMandatoryAnnotations
k8smandatorylabels                                                                  constraints.gatekeeper.sh/v1beta1                  false        K8sMandatoryLabel
constrainttemplates                                                                 templates.gatekeeper.sh/v1                         false        ConstraintTemplate

ConstraintTemplate ve Constraint, Kubernetes kaynakları üzerinde kuralları uygulamak için Open Policy Agent (OPA) Gatekeeper'da kullanılabilir.

$ kubectl get constrainttemplates
$ kubectl get k8smandatorylabels

GUI ile

Gatekeeper Policy Manager ile OPA kurallarına erişmek için bir Grafik Kullanıcı Arayüzü de mevcut olabilir. Bu, "Kubernetes Kümesi'ndeki OPA Gatekeeper politikalarının durumunu görüntülemek için basit bir salt okunur web UI'dır."

Açık hizmeti arayın:

$ kubectl get services -A | grep gatekeeper
$ kubectl get services -A | grep 'gatekeeper-policy-manager-system'

Hariç tutulan ad alanları

Yukarıdaki resimde gösterildiği gibi, belirli kurallar tüm ad alanları veya kullanıcılar üzerinde evrensel olarak uygulanmayabilir. Bunun yerine, beyaz listeye dayalı olarak çalışırlar. Örneğin, liveness-probe kısıtlaması, belirtilen beş ad alanına uygulanmaktan hariç tutulmuştur.

Bypass

Gatekeeper yapılandırmasının kapsamlı bir incelemesi ile, ayrıcalık kazanmak için istismar edilebilecek potansiyel yanlış yapılandırmalar belirlenebilir. Kuralın uygulanmadığı beyaz listeye alınmış veya hariç tutulmuş ad alanlarını arayın ve ardından saldırınızı burada gerçekleştirin.

Abusing Roles/ClusterRoles in Kubernetes

ValidatingWebhookConfiguration'ı İstismar Etme

Kısıtlamaları aşmanın bir diğer yolu, ValidatingWebhookConfiguration kaynağına odaklanmaktır :

Kubernetes ValidatingWebhookConfiguration

Referanslar

• https://github.com/open-policy-agent/gatekeeper

• https://github.com/sighupio/gatekeeper-policy-manager