Команда kubectl cp позволяет копировать файлы между контейнерами и машиной пользователя. Чтобы скопировать файлы из контейнера, Kubernetes …

Команда kubectl cp позволяет копировать файлы между контейнерами и машиной пользователя. Чтобы скопировать файлы из контейнера, Kubernetes создает tar-архив внутри контейнера, копирует его по сети, и kubectl распаковывает его на машине пользователя. Если tar-архив в контейнере является вредоносным, он может выполнить любой код и выдать неожиданные, вредоносные результаты. Злоумышленник может использовать это для записи файлов в любой путь на машине пользователя при вызове kubectl cp, ограниченный только системными разрешениями локального пользователя. Функция untar может создавать и переходить по символическим ссылкам. Проблема решена в kubectl v1.11.9, v1.12.7, v1.13.5 и v1.14.0.