开源系统Kubernetes 推出公开漏洞奖励计划，最高奖赏1万美元

聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

本周，云原生计算基金会 (CNCF)宣布为Kubernetes推出公开的漏洞奖励计划，最高奖赏1万美元。

Kubernetes(K8s) 是一款用于自动化部署、扩展和管理容器化应用的开源系统。它最初由谷歌开发，目前由CNCF负责维护。

这项漏洞奖励计划在 HackerOne 平台开展，CNCF 表示将尽力在漏洞报告提交1个工作日期间给出回应，从报告提交后的10个工作日内解决漏洞问题，并在解决问题后10个工作日内支付奖励金。

奖励金分三个等级

奖励金范围是100美元至1万美元之间，共分为三个层级：如研究人员能找到影响K8s 内核的漏洞，可被用于修改源代码以及针对已发布软件执行DoS 攻击的漏洞，则可获得的最高奖励是1万美元；如研究人员找到的漏洞影响的是非内核类组件，则可获得的最高奖励是5000美元；如果研究人员找到的弱点影响 K8s 基础设施或者内核中的测试功能，则最高可获得2500美元的奖励。

CNCF表示，这项漏洞奖励计划由K8s 产品安全委员会管理，委员会成员是谷歌、红帽和Shopify 公司的代表。这项奖励计划是在K8s 经过安全审计后发现某些严重漏洞的几个月之后推出的。

计划涵盖范围

HackerOne平台上列出了该漏洞奖励计划涵盖的目标和漏洞类型。

计划涵盖范围：

集群攻击

针对 Beta & GA 功能的攻击，除非在下文明确排除的功能：

• 因RBAC、ABAC、pod 安全策略中的提权漏洞
• 树内身份验证处理程序中的验证漏洞
• 包括OIDC、x509证书、服务账户、webhook 身份验证器、持有者令牌等
• 通过kubelet API 实现的提权漏洞
• Kubelet、api 服务器中的远程代码执行漏洞
• 通过K8s API 实现的越权etcd 权限
• API、名称空间、etcd 中的路径遍历攻击
• 公开可访问的未认证端点中的信息泄露（如工作负载名称）漏洞
• 不包括故意泄露的信息如K8s 版本和已启用的API
• 可靠抑制特权操作的渗透日志
• 意外编辑、删除或更改K8s组件（如kubelet）中主机文件系统上文件权限的漏洞
• 非权限容器或用户在集群内执行持久的DoS 攻击

供应链：（不包括针对维护人员的社工攻击）

• 向任何K8s组织仓库提交的越权代码
• 包括：

github.com/kubernetes{,-client,-csi,-incubator,-retired,-security,-sigs}/*

• 对github.com/kubernetes-security 的越权访问
• 发布未授权内容
• 越权修改github 数据
• CI/CD 凭证泄露
• 在CI/CD 基础设施中执行
• 越权推送、更新或删除任何 K8s 所有仓库的容器图像
• 包括k8s.gcr.io、gcr.io/kubernetes-ci—images

组件

• 针对稳定版和受支持K8s 版本（最近发布的3个版本）的攻击
• 社区维护的稳定的云平台插件
• 其它云平台插件中的漏洞也应该通过相关提供商进行报告
• 树内 (k8s.io/kubernetes) 稳定卷插件

另外，虽然某些漏洞问题虽然涵盖在计划内，但目前无法申请奖励金。

具体详见：

https://hackerone.com/kubernetes

来呀，一起玩耍~

推荐阅读

原文链接

https://www.securityweek.com/public-bug-bounty-program-launched-kubernetes

https://hackerone.com/kubernetes

题图：Pixabay License

转载请注明“转自奇安信代码卫士 www.codesafe.cn”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

 点个“在看”，bounty 不停~