Tim Allclair

Um problema de segurança foi descoberto no Kubernetes no qual um grande número de solicitações de checkpoint de contêiner feitas ao endpoint HTTP somente leitura não autenticado do kubelet pode causar uma Negação de Serviço no Nó (DoS) ao preencher o disco do Nó. Isso pode ser realizado enviando um grande número de solicitações para a porta HTTP somente leitura, que é habilitada por padrão na porta 10255, para criar checkpoints de contêiner, resultando na criação de múltiplos arquivos de checkpoint em /var/lib/kubelet/checkpoints. No entanto, para que o problema seja explorável, vários fatores devem coincidir, incluindo a porta somente leitura estar habilitada, o runtime de contêiner suportar checkpoint de contêiner e a feature gate ContainerCheckpoint estar habilitada no kubeapi.

A security issue was discovered in Kubelet that allows pods to bypass the seccomp profile enforcement. Pods that use localhost type for seccomp profile but specify an empty profile field are affected by this issue, allowing the pod to run in unconfined (seccomp disabled) mode. The issue is related to insufficient input validation, which can be exploited to configure certain modules to work in an unconfined mode.