CVE-2026-19444: обход путей в kubectl cp на Windows позволяет записывать произвольные файлы
В клиенте Kubernetes kubectl обнаружена уязвимость обхода путей (path traversal) в команде kubectl cp при работе на Windows. Атакующий, контролирующий содержимое контейнера, может записать файлы в произвольные пути на локальной машине пользователя. Критичность — средняя (CVSS 6.5).
Подробности
Уязвимость затрагивает продукт Kubernetes, а именно клиент kubectl, работающий под управлением операционной системы Windows. Проблема связана с командой kubectl cp, предназначенной для копирования файлов между локальной машиной и контейнерами в кластере. Механизм работы kubectl cp устроен следующим образом: при копировании файлов из контейнера утилита запускает внутри контейнера бинарный файл tar, который формирует архив, передаёт его по сети и распаковывает на локальной машине пользователя. Уязвимость заключается в том, что если бинарный файл tar внутри контейнера окажется вредоносным, он может выполнить произвольный код и сформировать неожиданный вывод. Это позволяет атакующему, контролирующему содержимое контейнера, записывать файлы в произвольные пути на локальной машине пользователя в момент вызова команды kubectl cp. Масштаб воздействия ограничен только системными разрешениями локального пользователя, запустившего команду. Таким образом, при наличии у пользователя повышенных привилегий последствия могут быть существеннее. Важно отметить, что уязвимость проявляется исключительно на клиентах kubectl, работающих под управлением Windows; другие платформы не затронуты. Тип уязвимости — обход путей (path traversal), приводящий к записи произвольных файлов (arbitrary file writes). Вектор атаки требует, чтобы атакующий имел возможность контролировать содержимое контейнера, с которым взаимодействует пользователь через kubectl cp.Что делать
Для защиты от CVE-2026-19444 рекомендуется придерживаться следующих мер: 1. Обновить kubectl до версии, в которой устранена уязвимость. Следите за официальными рекомендациями проекта Kubernetes и применяйте актуальные патчи по мере их выпуска. 2. Ограничить использование kubectl cp при работе на Windows, особенно при взаимодействии с контейнерами из недоверенных источников или кластеров, содержимое которых вы не контролируете. 3. Проверять источник образов и содержимое контейнеров перед выполнением операций копирования — уязвимость эксплуатируется именно через подконтрольный атакующему контейнер. 4. Применять принцип наименьших привилегий: запускать kubectl от имени пользователя с минимально необходимыми правами, чтобы ограничить потенциальный ущерб от записи файлов. 5. Использовать альтернативные способы передачи файлов из контейнеров, если это возможно в вашем рабочем процессе, до применения официальных исправлений.Итог
CVE-2026-19444 — уязвимость средней критичности, затрагивающая kubectl cp на Windows и позволяющая при определённых условиях записывать файлы в произвольные пути на локальной машине. Основной вектор атаки связан с недоверенным содержимым контейнера, поэтому ключевыми мерами защиты остаются своевременное обновление kubectl, осторожность при работе с недоверенными контейнерами и соблюдение принципа наименьших привилегий.Источник: CVE Project (cvelistV5)