Files
hacktricks-cloud/src/pentesting-cloud/openshift-pentesting/openshift-privilege-escalation/openshift-tekton.md

2.8 KiB

OpenShift - Tekton

El autor original de esta página es Haroun

Qué es tekton

Según la documentación: Tekton es un marco de código abierto poderoso y flexible para crear sistemas CI/CD, permitiendo a los desarrolladores construir, probar y desplegar en proveedores de nube y sistemas locales. Tanto Jenkins como Tekton se pueden usar para probar, construir y desplegar aplicaciones, sin embargo, Tekton es Cloud Native.

Con Tekton, todo está representado por archivos YAML. Los desarrolladores pueden crear Recursos Personalizados (CR) de tipo Pipelines y especificar múltiples Tasks en ellos que desean ejecutar. Para ejecutar un Pipeline, deben crearse recursos de tipo PipelineRun.

Cuando se instala tekton, se crea una cuenta de servicio (sa) llamada pipeline en cada namespace. Cuando se ejecuta un Pipeline, se generará un pod utilizando esta sa llamada pipeline para ejecutar las tareas definidas en el archivo YAML.

{{#ref}} https://tekton.dev/docs/getting-started/pipelines/ {{#endref}}

Las capacidades de la cuenta de servicio del Pipeline

Por defecto, la cuenta de servicio del pipeline puede usar la capacidad pipelines-scc. Esto se debe a la configuración predeterminada global de tekton. De hecho, la configuración global de tekton también es un YAML en un objeto de openshift llamado TektonConfig que se puede ver si tienes algunos roles de lector en el clúster.

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
name: config
spec:
...
...
platforms:
openshift:
scc:
default: "pipelines-scc"

En cualquier espacio de nombres, si puedes obtener el token de la cuenta de servicio del pipeline, podrás usar pipelines-scc.

La mala configuración

El problema es que el scc predeterminado que la cuenta de servicio del pipeline puede usar es controlable por el usuario. Esto se puede hacer utilizando una etiqueta en la definición del espacio de nombres. Por ejemplo, si puedo crear un espacio de nombres con la siguiente definición yaml:

apiVersion: v1
kind: Namespace
metadata:
name: test-namespace
annotations:
operator.tekton.dev/scc: privileged

El operador tekton otorgará a la cuenta de servicio del pipeline en test-namespace la capacidad de usar el scc privilegiado. Esto permitirá el montaje del nodo.

La solución

Los documentos de Tekton sobre cómo restringir la anulación de scc añadiendo una etiqueta en el objeto TektonConfig.

{{#ref}} https://tekton.dev/docs/operator/sccconfig/ {{#endref}}

Esta etiqueta se llama max-allowed

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
name: config
spec:
...
...
platforms:
openshift:
scc:
default: "restricted-v2"
maxAllowed: "privileged"