Een keten van kwetsbaarheden in een beheerde Kubernetes-cluster maakte volledige controle over een cloudinfrastructuur mogelijk.
Een penetratietest op de infrastructuur van een grote cloudprovider toonde aan dat kritieke bedreigingen niet alleen door klanten veroorzaakt worden, maar ook vanuit de cloudprovider zelf kunnen ontstaan. Door een reeks kwetsbaarheden en logische fouten was het mogelijk om de isolatie tussen tenants volledig te omzeilen, met ernstige gevolgen voor de bedrijfsvoering.
De aanval begon met het verkrijgen van initiële toegang via een beheerde Kubernetes-cluster (versie 1.25.16+k0s.0). Hoewel SSH-toegang tot worker nodes normaal gesproken door de provider wordt geblokkeerd, stond de configuratie het aanmaken van privileged pods toe die toegang hadden tot host namespaces. Hierdoor kon een pod worden ingezet die met rootrechten op de hostmachine draaide. Met het commando nsenter werd de uitvoering verplaatst naar de host zelf, waardoor volledige controle over het systeem werd verkregen.
Vervolgens werd de configuratie van Kubelet en de API-server geanalyseerd om verdere escalatie mogelijk te maken. De onderzoekers onderzochten ook de control plane services en maakten gebruik van een kwetsbaarheid in een fork van konnectivity-server om toegang te krijgen tot het netwerk van de cloudprovider. Hiermee konden zij privileges op de host verder verhogen.
De aanval zette zich voort in het overlay-netwerk, waarbij onder andere de Victoria stack en beheerde Kafka-instanties werden gecompromitteerd. Credential-lekken via de redis exporter maakten het mogelijk om beheerde PostgreSQL-clusters (Patroni) aan te vallen en zo nog meer controle te verkrijgen.
Daarnaast werd de SaltStack managementinfrastructuur aangevallen door middel van een SQL-injectie, waarmee de controle over het beheer van de cloud verder werd uitgebreid. Ook andere kwetsbaarheden, zoals in Managed Valkey en MySQL, werden benut om de aanval te versterken.
De bevindingen zijn onderdeel van een officiële bug bounty en zijn verantwoord gemeld aan de cloudprovider, die alle kwetsbaarheden volledig heeft verholpen. Dit onderzoek, dat de tweede prijs won bij de Russian Pentest Award 2026, benadrukt het belang van regelmatige penetratietests en samenwerking tussen ontwikkelaars en onafhankelijke onderzoekers voor het waarborgen van cloudveiligheid.
