Статья "Аудит-политика Kubernetes: чек-лист против типовых слепых зон в правилах". В рамках данного материала автор отмечает тонкие, но очень важные моменты при составлении и контроле Audit Policy. Она позволит избежать очень популярные ошибки при написании политики аудита в Kubernetes. Самое важно тут, что стоит помнить всегда, что правила применяются сверху в низ и их надо писать от частного к общему. Если вы вообще не понимаете, о чем идет речь, то перед этим изучите материал «Kubernetes Audit Log на страже безопасности кластеров».

📌 Подробнее: https://habr.com/ru/articles/1080076/

MemOps🤨

MemOps 😃

Сайт https://kubernetes3d.com/rack визуализирует кластер Kubernetes в виде серверной стойки, причём всё выполнено в полноценном 3D. Есть отдельные виды спереди, сзади и сбоку, и каждый показывает один и тот же кластер с разных ракурсов.

Обратите внимание: все кнопки и сцены здесь интерактивны, поэтому сайт отлично подходит ещё и для изучения концепций.

📌 Подробнее: https://kubernetes3d.com/rack

MemOps🤨

MemOps 😃

chatto — полнофункциональное приложение для командного и группового чата, которое легко развернуть самостоятельно.

📌 Подробнее: https://github.com/chattocorp/chatto

MemOps🤨

MemOps 😃

В новой версии Kyverno 1.19.1 был исправлен ряд уязвимостей. Самая критичная, GHSA-5qq8-67g6-4h2w, позволяет через apiCall в namespaced Policy обойти namespace isolation и выполнить POST запрос от имени ServiceAccount Kyverno, вплоть до создания MutatingWebhookConfiguration и повышения привилегий до cluster-admin. Уязвимость имеет CVSS 9.9.

GHSA-c5qq-7g2q-cpqp позволяет через percent-encoded .. обойти проверку namespace и читать ресурсы за его пределами, а исправление для GHSA-q825-p383-r9v5 устраняет SSRF в legacy apiCall, который мог использоваться для доступа к cloud metadata и внутренним сервисам с токеном Kyverno.

Также исправлены GHSA-59v6-2x73-wfg4, позволяющая namespaced policy читать cross-namespace данные через globalcontext.Lib, и GHSA-5cjf-wwfg-pj4c, позволяющая через PolicyException обойти проверку подписей образов в ImageValidatingPolicy.

Для всех пяти advisories CVE пока не назначены.

MemOps🤨