Ayrıcalıklı Kubernetes konteyneri (ARCH10021)

Anahtar config.k8s.privileged-container · Önem error · Kategori security · CWE CWE-250

Ayrıcalıklı bir konteyner düğümün tüm aygıtlarına ve çekirdek yetkilerine erişir; yetki yükseltmeye izin veren bir konteyner içindeki sürecin başladığından fazla yetki kazanmasına izin verir. Pod, Deployment, StatefulSet, DaemonSet, ReplicaSet, Job ve CronJob okunur.

Hatalı

apiVersion: apps/v1
kind: Deployment
metadata:
  name: agent
spec:
  selector:
    matchLabels:
      app: agent
  template:
    metadata:
      labels:
        app: agent
    spec:
      containers:
        - name: agent
          image: example/agent:2.4.1
          securityContext:
            privileged: true

Doğru

apiVersion: apps/v1
kind: Deployment
metadata:
  name: agent
spec:
  selector:
    matchLabels:
      app: agent
  template:
    metadata:
      labels:
        app: agent
    spec:
      containers:
        - name: agent
          image: example/agent:2.4.1
          securityContext:
            allowPrivilegeEscalation: false
            capabilities:
              add: ["NET_ADMIN"]

Düzeltme

privileged’i kaldırın, allowPrivilegeEscalation: false verin ve konteynere yalnızca gereken yetkiyi tanıyın (securityContext.capabilities.add).

İşaretlenmeyenler

• Helm şablonları ({{ ... }}): işlenmeden geçerli YAML değildirler ve okunmazlar.