Root sul nodo Kubernetes diventa furto di identità
Unit 42 ha mostrato che root su un nodo Kubernetes può andare oltre il compromesso della macchina: basta per impersonare workload co-locati e ottenere i loro SVID. La ricerca mette in crisi l’assunto centrale di SPIFFE/SPIRE, cioè che il nodo resti affidabile.
Il punto debole sta nell’attestazione: SPIRE usa anche i metadati cgroup del nodo per verificare a quale workload appartiene un processo. Se il nodo è sotto controllo dell’attaccante, quei dati possono essere falsati e l’agent può consegnare l’identità di un altro workload a un processo malevolo.
Per chi gestisce piattaforme Kubernetes con identità brevi e legate al nodo, il rischio non è solo perdere un host. Un accesso root può trasformarsi in furto di identità e impersonificazione di servizi che si credevano isolati per workload.