Unit 42 披露通过 cgroup 伪造冒用 SPIFFE/SPIRE 工作负载身份的攻击手法
The Machine With Many Faces: Post-Exploitation Identity Misuse in SPIFFE/SPIRE
AI 导读
Unit 42 研究显示，攻击者只要在 Kubernetes 节点上取得 root 权限，就能伪造 SPIRE agent 用于工作负载认证的 Linux cgroup 信息，诱使 agent 把同节点其他工作负载的 SVID 签发给攻击者控制的进程。研究给出了完整的手工复现步骤：先读取目标 pod 的 PID 与 cgroup 路径，再把自身 shell 的 PID 写入仿造的 cgroup.procs，随后通过 Workload API 成功取回目标工作负载的 JWT SVID 与信任包。