Kubernetes - OPA Gatekeeper bypass

Mwandishi halisi wa ukurasa huu ni Guillaume

Kutumia upangiaji mbaya

Kuchambua sheria

Kuwa na muhtasari kunaweza kusaidia kujua ni sheria zipi zinazofanya kazi, kwa hali gani na nani anaweza kuzipita.

Kwa kutumia CLI

$ kubectl api-resources | grep gatekeeper
k8smandatoryannotations                                                             constraints.gatekeeper.sh/v1beta1                  false        K8sMandatoryAnnotations
k8smandatorylabels                                                                  constraints.gatekeeper.sh/v1beta1                  false        K8sMandatoryLabel
constrainttemplates                                                                 templates.gatekeeper.sh/v1                         false        ConstraintTemplate

ConstraintTemplate na Constraint zinaweza kutumika katika Open Policy Agent (OPA) Gatekeeper kutekeleza sheria kwenye rasilimali za Kubernetes.

$ kubectl get constrainttemplates
$ kubectl get k8smandatorylabels

Kwa GUI

Kiolesura cha Mtumiaji cha Picha kinaweza pia kupatikana kufikia sheria za OPA na Meneja wa Sera ya Gatekeeper. Ni "UI ya wavuti ya soma tu ya kuona hali ya sera za OPA Gatekeeper katika Kikundi cha Kubernetes."

Tafuta njia iliyofichuliwa:

$ kubectl get services -A | grep gatekeeper
$ kubectl get services -A | grep 'gatekeeper-policy-manager-system'

Majina ya nafasi zilizotengwa

Kama ilivyoonyeshwa kwenye picha hapo juu, baadhi ya sheria huenda zisitumike kwa njia ya kipekee kote kwenye majina ya nafasi au watumiaji. Badala yake, zinafanya kazi kwa msingi wa orodha ya kibali. Kwa mfano, kizuizi cha liveness-probe kimeondolewa kutumika kwa majina ya nafasi tano zilizotajwa.

Kupita

Kwa muhtasari kamili wa usanidi wa Gatekeeper, ni rahisi kutambua upangaji mbaya wa mazingira ambao unaweza kutumiwa kwa faida ya kupata mamlaka. Tafuta majina ya nafasi yaliyoorodheshwa au yaliyotengwa ambapo sheria haiwafai, kisha tekeleza shambulio lako hapo.

Abusing Roles/ClusterRoles in Kubernetes

Marejeo

• https://github.com/open-policy-agent/gatekeeper

• https://github.com/sighupio/gatekeeper-policy-manager