Luntry — безопасность контейнеров

🔍 Чек-лист: 5 слабых мест в защите контейнеров, которые стоит закрыть до аттестации Готовясь к аттестации ИС на базе Kubernetes, многие защищают хосты и сеть, а контейнерный контур оставляют «на потом». Но именно здесь часто кроются риски. Оцените свой кластер по этим пунктам. Если узнали свою ситуацию хотя бы в одном случае, рекомендуем закрыть эти вопросы до старта аудита. ✅ 1. Образы проверяются только в пайплайне Сканер образов в CI/CD есть, но после запуска за подами никто не следит. Аномальные процессы, сетевые соединения и изменения файлов внутри контейнера остаются незамеченными. ❗️Почему это важно: сканер отвечает на вопрос «что внутри образа?», но не на вопрос «что контейнер делает сейчас?». ✅ 2. ServiceAccount с избыточными привилегиями Зачастую ServiceAccount'ы выдаются «с запасом», в RoleBinding встречается wildcard *, аудит прав не проводился. ❗️Почему это важно: минимальные привилегии — базовый принцип защиты информации, закреплённый в том числе в документах ФСТЭК России. Избыточные права упрощают атакующему движение по кластеру. ✅ 3. Нет контроля целостности среды и образа При масштабировании или пересоздании пода защиту подключают вручную, с задержкой или не подключают вовсе. Целостность образа перед запуском не проверяется. ❗️Почему это важно: контейнер живёт минуты. Защита, которая реагирует часами, просто не успевает за современной инфраструктурой, работающей в Kubernetes. ✅ 4. Обращения к Kubernetes API никто не мониторит Массовое чтение secrets, запуск privileged-подов, создание новых ролей проходят без оповещений. ❗️Почему это важно: API Server и etcd — пульт управления кластером. Кто получил к ним доступ, тот контролирует всю систему. ✅ 5. Полагаетесь на сертификат ОС Распространено мнение, что сертифицированная ОС автоматически закрывает все проблемы работающих в ней сервисов, поэтому в модели угроз контейнеры описывают просто как «приложение на сервере». ❗️Почему это важно: сертификат на ОС подтверждает функции безопасности самой ОС. Угрозы уровня контейнеров, такие как побег из контейнера, уязвимые образы и избыточные права, он не покрывает, поэтому их стоит учесть в модели угроз. 🌟 Как это исправить? Закрыть эти слабые места помогает сертифицированное наложенное средство защиты, которое работает внутри контейнерного контура. Оно контролирует поведение подов в runtime, права, целостность образов и обращения к API с момента запуска каждого пода. На вебинаре 12 ноября разберем, как Luntry закрывает эти 5 пунктов «глазами аттестатора» и покажем контрольные меры. 📅 12 ноября, 11:00 (МСК) 👉 Зарегистрироваться на вебинар

⚡️ Анатомия взлома: как одна ошибка в RBAC обрушила защиту всего кластера Часто настройка RBAC в Kubernetes воспринимается как рутина: «написать YAML, применить, забыть». Но в реальности это один из самых критичных векторов атак на контейнерную инфраструктуру. Разберем классический сценарий, как безобидная на первый взгляд ошибка в правах приводит к полной компрометации кластера. 🔴 Шаг 1. Точка входа. Атакующий находит уязвимость в приложении и получает выполнение кода (RCE) внутри совершенно обычного, ничем не примечательного пода. Для ИБ-инструментов, которые смотрят только на периметр сети, этот под выглядит «здоровым». 🔴 Шаг 2. Кража токена. Kubernetes автоматически монтирует токен ServiceAccount внутрь каждого пода (в файл /var/run/secrets/kubernetes.io/serviceaccount/token). Атакующий, оказавшись внутри, просто читает этот файл. 🔴 Шаг 3. Эскалация привилегий. Атакующий использует украденный токен для запросов к API кластера. И здесь срабатывает ошибка администратора: когда-то давно, чтобы «просто отдебажить», этому ServiceAccount через ClusterRoleBinding выдали роль cluster-admin или ClusterRole с wildcard * в правилах. Токен из одного маленького пода внезапно получает полные права на весь кластер. 🔴 Шаг 4. Горизонтальное перемещение. Имея права администратора, атакующий делает три вещи: - Выгружает все Secrets (ключи от БД, креды облачных провайдеров). - Создает новый под с флагом privileged. - Монтирует корневую файловую систему хоста (hostPath: /) и выходит на уровень ноды. Итог: из одного скомпрометированного пода атакующий получает полный контроль над всем кластером и базовой инфраструктурой. Периметр пал. 🛡 Почему традиционные методы здесь не работают? Статический анализ YAML-файлов в CI/CD не спасет, потому что контекст runtime постоянно меняется. А сканеры уязвимостей образов вообще не видят, как токен используется внутри пода. Более того, именно такие «мины замедленного действия» в RBAC становятся главной причиной проблем при аттестации. Регулятор требует гарантий контроля доступа в контейнерных средах, а не просто скриншоты настроек. ✅ Как закрыть эту брешь и удовлетворить требования регулятора? На техническом вебинаре мы разберем, как решение Luntry Certified выявляет избыточные права и блокирует подобные сценарии атак в реальном времени, не ломая процессы разработки. Мы покажем конкретные контрольные меры ФСТЭК России и то, как наш продукт закрывает их «глазами аттестатора». 📅 12 ноября, 11:00 (МСК) 👉 Зарегистрироваться на вебинар

🚤 Почему контейнеры стали отдельным объектом защиты? К контейнерным средам долго применяли привычную логику: тот же периметр, те же средства, просто ещё одна нагрузка. Эта логика перестала работать. Разбираемся, почему контейнер оказался самостоятельным объектом защиты: ⏱️ Жизненный цикл короче согласования ВМ живёт месяцами, контейнер — минуты. К моменту, когда ИБ согласовала правило, экземпляра уже нет. Контролировать нужно не трафик, а сам факт запуска workload и права, с которыми он стартует. 🛡 Изоляция контейнера ≠ изоляция системы Контейнеры делят одно ядро ОС. Компрометация процесса внутри пода — это риск для всего узла и кластера. Защищать нужно не только содержимое, но и то, чем контейнер может воспользоваться в хосте. 🔄 Безопасный образ ≠ безопасная работа Статическая проверка в CI/CD отвечает на вопрос «что внутри», но игнорирует «где это запущено» и «что происходит сейчас». Нужен непрерывный контроль: уязвимость + конфигурация + контекст runtime. 🌐 Оркестратор стал новым периметром API кластера, Service Accounts, сетевые политики — это контур управления всеми workload. Периметр переехал внутрь кластера, а меры защиты остались снаружи. ⚖️ Где здесь регулятор? На аттестации сертификат на ОС или платформу не закрывает защиту контейнерного приложения. Нужен инструмент с подтвержденными свойствами именно для этого контура. ✅ Решение от Luntry 30 сентября Luntry Certified 1.0c получил сертификат ФСТЭК России №5116 с 4-м уровнем доверия. Первое и единственное в РФ наложенное решение для комплексной защиты контейнеров и Kubernetes на всех стадиях жизненного цикла. Внедряется без перестройки архитектуры, закрывает требования для ГИС 1 класса и объектов КИИ. 🎯 Если тему пора разбирать на своей инфраструктуре Приглашаем на технический вебинар, где подробно разберем путь Luntry к сертификации и покажем, как решение закрывает требования регулятора «глазами аттестатора». 📅 12 ноября, 11:00 (МСК) 👉 Зарегистрироваться

🚀 Первый сертификат ФСТЭК России на защиту контейнеров и Kubernetes: эксклюзивный разбор пути Luntry 12 ноября в 11:00 (МСК) приглашаем на эксклюзивный вебинар Luntry, посвященный историческому событию для рынка Cloud Native Security. Мы подробно разберем, как Luntry стал первым и единственным вендором в РФ, получившим сертификат ФСТЭК России на средство защиты контейнерных сред и Kubernetes. 🎙 Спикеры: • Дмитрий Евдокимов, основатель и технический директор Luntry, эксперт по безопасности контейнеризированных сред с 15-летним опытом в ИБ. • Анатолий Карпенко, инженер автоматизации Luntry, эксперт в области ИБ и DevSecOps. Что обсудим на эфире: 1️⃣ Кейс Luntry, как мы стали первыми в России; 2️⃣ Что меняет сертификация для заказчиков; 3️⃣ Архитектура сертифицированной защиты; 4️⃣ Демонстрация "защита глазами аттестатора"; 5️⃣ Технические вопросы и планы развития. 🎁 Бонус: все участники эфира получат в подарок полезный гайд. 👉 Регистрация и полная программа здесь

⚡️ Критические уязвимости PHP2Shell (CVSS 9.2): как защитить контейнеры, пока идут патчи Две уязвимости PHP (CVE-2026-109618 и CVE-2026-109619) позволяют удалённо выполнить код на сервере и затрагивают все версии PHP за последнее десятилетие. Рабочие эксплойты появились ещё до выхода исправлений. Что делать прямо сейчас: ✅ Обновить PHP до исправленной версии ✅ Провести инвентаризацию работающих нагрузок ✅ Включить Runtime-защиту для уязвимых контейнеров Luntry помогает обнаружить и остановить эксплуатацию PHP2Shell в Kubernetes, пока идёт обновление. Поведенческий анализ срабатывает независимо от сигнатуры CVE. 👉 Полный разбор с практическим воспроизведением эксплойта — в статье

🚀 Встречаемся на SOC Forum 2026 Kubernetes стал стандартом разработки, но для SOC это постоянный вызов: эфемерные поды, специфическая телеметрия и сложные цепочки атак, которые не ловятся традиционными SIEM-правилами. Как выстроить эффективное обнаружение и реагирование на инциденты в кластерах? Приглашаем на доклад Дмитрия Евдокимова, основателя и технического директора Luntry. 🗓 Дата: 28 октября 🕒 Время: 13:30 – 14:00 📍 Место: Зал «Физика» 🎤 Тема: «Реагирование на инциденты в Kubernetes для SOC» Что разберем: 🔹 Особенности телеметрии Kubernetes и что действительно важно собирать для SOC. 🔹 Подходы к построению алертинга и корреляции событий в динамических средах. 🔹 Процессы и методики, которые ускоряют безопасное и контролируемое реагирование на инциденты. 🫶 Также ждем вас на стенде Luntry! Обсудим реальные кейсы защиты контейнеров в production, покажем возможности нашей платформы и расскажем, как первое в РФ решение с сертификатом ФСТЭК России закрывает задачи SOC на всех этапах жизненного цикла. 🎁 Активности на стенде: • Пройдите тематический квиз по безопасности контейнеров и Kubernetes и проверьте свои знания. • Крутите лототрон: разыгрываем главный приз — билет на конференцию Бекон 2027! 👉 Полная программа и регистрация здесь До встречи на SOC Forum!

💥 ПО Luntry Certified получило сертификат ФСТЭК России — отмечаем на бизнес-ужине LUNTRY Приглашаем на бизнес-ужин CyberKuberCool Talks с командой LUNTRY, который состоится 21 октября. Повод для встречи особенный: мы обсудим историческое событие для рынка Cloud Native Security — получение Luntry первого и единственного в России сертификата ФСТЭК для комплексной защиты контейнеров и Kubernetes на всех стадиях жизненного цикла. ⚠️ Обращаем внимание: мероприятие предназначено только для заказчиков, не для партнеров и интеграторов. В программе: 🔹 Требования регулятора в области защиты контейнерных систем: что сейчас есть и как это применять; 🔹 Создание защищенной контейнерной системы вместе с Luntry: почему сертифицированной ОС и платформы недостаточно и как достичь полного соответствия регуляторам; 🔹 Неформальное общение и фуршет. 📅 Дата: 21 октября 2026 года (среда) ⏰ Время: 18:30 Регистрация открыта до 20 октября включительно: 👉 Регистрация 🫶 До встречи!

💥 ПО Luntry Certified получило сертификат ФСТЭК России 30 сентября компания АО "КлаудРан" (входит в ГК "Солар") получила сертификат ФСТЭК России №5116 на программное обеспечение Luntry (Лантри) Certified 1.0c. Это первое и единственное в РФ решение для комплексной защиты контейнеров и Kubernetes на всех стадиях жизненного цикла, прошедшее официальную оценку соответствия требованиям регулятора. Что подтверждает сертификат: 🔹 Продукт сертифицирован по 4-му уровню доверия — и может использоваться для защиты информации, в государственных информационных системах 1 класса защищенности. 🔹 Решение позволяет защищать информационные системы, обрабатывающие конфиденциальную информацию и персональные данные, а также объекты критической информационной инфраструктуры (КИИ) высоких классов защищенности и категорий значимости. 🔹 Luntry работает как наложенное средство защиты: интегрируется в существующую инфраструктуру без модификации исходного кода приложений или перестройки архитектуры кластера. Получение сертификата позволяет существенно сократить сроки и снизить риски при прохождении процедур оценки соответствия требованиям ФСТЭК и 187-ФЗ, выводя защиту Kubernetes-инфраструктур в строгое нормативно-правовое поле. 👉 Подробнее здесь

💥 Команда Luntry едет на ITSEC 2026 13-14 октября встречаемся на отраслевом форуме по информационной безопасности ITSEC 2026. Основатель и технический директор Luntry Дмитрий Евдокимов выступит с двумя докладами, посвященными практическим аспектам защиты сложных инфраструктур: 🎙 Доклад 1: Как не завалить SIEM в высоконагруженных кластерах Kubernetes 📍 Трек: Высоконагруженные ИБ-решения для больших инфраструктур ⏰ 13 октября, 11:00–15:30 💡 О чем: Кластера Kubernetes генерирует большой поток событий, что на уровне Runtime, что на уровне Kubernetes Audit Log. И если эту задачу решать в лоб, то либо складывается агент и хост вместе с ним, либо улетучивается вся лицензия на SIEM вместе с дисковым хранилищем. Как быть и что делать рассмотрим в данном докладе. 🎙 Доклад 2: Защита AI-инфраструктур 📍 Трек: Построение безопасности локальных ИИ-моделей ⏰ 13 октября, 11:00–15:30 (уточните точное время, если оно уже известно) 💡 О чем: Когда говорят про безопасность AI, чаще все обсуждают как безопасно его обучать или как с помощью него защищаться или защищаться от его действий. И в этой картине выпадает очень важный момент - момент инфраструктуры, где AI находится и функционирует. А эта среда очень специфичная со своими моделями угроз и нарушителей, требующая особого подхода. В рамках доклада мы и поговорим про специфику безопасности AI-инфраструктур. 💙 Также, ждем на стенде Luntry Приглашаем проверить свои знания и удачу: 🔹 Хардкорный квиз по безопасности контейнеров и Kubernetes. 🔹 Лототрон с ценным призом. 👉 Регистрация и полная программа форума здесь До встречи на форуме🫶!

🚀 Дайджест Luntry: Август-сентябрь Эти два месяца выдались максимально продуктивными. Собрали главное, что произошло в Luntry. 1. R&D: находки в Open Source и коммерческих СЗ Наша команда нашла уязвимости в популярных проектах и средствах защиты, мейнтейнеры выпустили патчи и поблагодарили нас за ответственный disclosure: • Open Source: Istio, Argo Workflows, Kyverno, Rancher Fleet, CloudNativePG. • Коммерческие СЗ: уязвимость (CVSS 9.4) в NeuVector — OS Command Injection в привилегированном enforcer-контейнере. 🔗 Статья на сайте Luntry 🔗 GitHub Security Advisory 2. Продукт и экосистема • Большой релиз Luntry 4.6: Усилили runtime-мониторинг, сетевые политики и управление уязвимостями. Без абстракций — только реальные задачи и живые демо. 🔗 Материалы вебинара • Стратегическое партнерство с Apsafe (УЦСБ): Объединили «мускулы» Luntry (глубокая защита от SBOM до runtime) и «мозг» Apsafe (единая консоль и интеграция с SOC), чтобы раз и навсегда решить проблему операционного хаоса. 🔗 Статья на сайте Apsafe 3. Лидерство и знания • Экспертный совет АОТ: Дмитрий Евдокимов вошел в число 9 ведущих практиков (VK Cloud, Yandex Cloud, Флант) для формирования реальных стандартов Cloud Native и программы Kuber Conf 2026. 🔗 Подробнее о совете • DevSecOps на ИИ-скорости: Совместный вебинар с ГК «Солар» и Hexway о том, как автоматизировать AppSec и отсечь информационный шум, не тормозя бизнес. 🔗 Читать Habr | Компьютерра 4. Ивенты и комьюнити • Конференция РБПО 2026: Выступили с докладом о переходе от реактивной безопасности к проактивным механизмам защиты. 🔗 О конференции: rbpo2026.avangardpro.ru • Были официальными партнерами на IT Elements 2026 и культовой ZeroNights 2026. Прокачали комьюнити на хардкорных квизах по K8s и разыграли билеты на главную конференцию отрасли — БеКон 2027. 🔗 О конференциях IT Elements | ZeroNights Спасибо комьюнити за поддержку! Мы продолжаем делать индустрию безопаснее, а ваши кластеры — надежнее 💙🫶

🚀 Код быстрее, проверок больше: как ИИ меняет DevSecOps 25 августа мы провели мощный совместный вебинар Luntry × Hexway × Solar о том, как искусственный интеллект перестал быть просто модным словом и начал реально решать боли DevSecOps-команд. Объединив экспертизу в защите контейнеров, управлении доступом и кибербезопасности, мы разобрали, как технологии ИИ помогают закрывать разрыв между скоростью разработки и требованиями безопасности. Для тех, кто пропустил эфир или хочет сохранить знания в текстовом виде, подготовили развернутые статьи с ключевыми инсайтами. 👉 Читать на Habr 👉 Читать в Компьютерре

⚠️ Когда средство защиты становится вектором атаки: Luntry R&D находит критическую уязвимость в NeuVector (CVSS 9.4) Наша команда R&D продолжает исследовать границы безопасности Cloud Native-стека. На этот раз под прицел попал популярный инструмент защиты кластеров — NeuVector. Мы обнаружили критическую уязвимость CVE-2026-78424, которая превращает «щит» в «троянского коня». 🔍 В чем суть проблемы? Уязвимость кроется в механизме packet capture. Через специально сформированный фильтр атакующий может добиться OS Command Injection внутри привилегированного контейнера enforcer. 💥 Почему это критично (CVSS 9.4): Низкий порог входа: Для эксплуатации не нужны права администора кластера. Злоумышленнику достаточно доступа с правом записи в namespaced Runtime Policies. Максимальный ущерб: Успешная эксплуатация и выполнение команд внутри привилегированного enforcer-контейнера ведет к полной компрометации worker-ноды Kubernetes. 🔍 Мы сообщили о находке разработчикам NeuVector 7 августа. Вендор оперативно отреагировал, и уязвимость уже устранена в версиях 5.6.2, 5.5.4 и 5.4.11. 💡 Главный вывод для DevSecOps: Средства защиты инфраструктуры по определению работают с максимальными привилегиями (часто в privileged-режиме или с доступом к хосту). Любая ошибка в их коде или логике мгновенно масштабирует ущерб до уровня всего кластера. Контроль конфигураций, аудит прав доступа (RBAC) и мониторинг самих security-агентов — это не опция, а обязательное требование для зрелой безопасности. 🔗 Детали уязвимости: GitHub Security Advisory Проверьте версии своих решений. А если хотите, чтобы вашу инфраструктуру аудитировали те, кто находит такие баги, — вы знаете, к кому обращаться 😉

Luntry — официальный партнер ZeroNights 2026! 30 сентября в петербургском LOFT#7 соберется всё комьюнити, которое реально живет ИБ. И мы будем там — как официальный партнер конференции со своим стендом. Что приготовили на стенде: 🧠 Хардкорный квиз по безопасности Kubernetes Проверьте свои знания о защите контейнеров. Спойлер: будет непросто, но интересно. 🎰 Лототрон с мощным призом Крутите барабан и выигрывайте билет на главную отраслевую конференцию по безопасности контейнеров — БеКон 2027! Приходите пообщаться с экспертами, задать неудобные вопросы о защите K8s и забрать свои призы. Будем рады видеть всех! 📅 30 сентября | 📍 LOFT#7, Арсенальная набережная, 1, СПб Ищите стенд Luntry! До встречи! 💜 👉 Подробнее о конференции здесь

🤓 Luntry в экспертном совете АОТ: развиваем Cloud Native вместе с лучшими практиками страны Ассоциация профессионалов индустрии облачно-ориентированных технологий «АОТ» (созданная VK Cloud, Yandex Cloud и «Флант») сформировала экспертный совет по развитию облачных технологий в России. 🥳 Отличная новость: основатель и технический директор Luntry Дмитрий Евдокимов вошел в число экспертов. Почему это важно? В совет вошли всего 9 ведущих специалистов. Ключевой критерий отбора: это не теоретики, а практики, которые «сами крутят Kubernetes в проде и сами строят Cloud Native», а не пересказывают чужой опыт. Над чем будет работать совет: 🎯 Формировать реальную технологическую повестку отрасли, основанную на запросах бизнеса и инженеров; 🎯 Запускать новые отраслевые инициативы и стандарты; 🎯 Проводить техническую валидацию подходов и практик 🎯 Участвовать в программном комитете ключевой отраслевой конференции Kuber Conf 2026. Безопасность и надежность облачной инфраструктуры — это не опция, а фундамент. Рады вносить свой вклад в развитие зрелого и сильного Cloud Native-комьюнити в России! 👉 Подробнее о совете тут

🦾 Технологическое партнерство Luntry и Apsafe: закрываем весь контур безопасности Kubernetes Мы в Luntry давно видим главную боль рынка: компании пытаются собрать защиту контейнерной среды из 5–7 разных решений. В итоге они получают не безопасность, а операционный хаос, конфликты агентов и выгорание команд, которые пытаются это всё настроить и поддерживать. Мы верим, что защита должна быть единым, управляемым процессом. Именно поэтому мы с радостью объявляем о стратегическом технологическом партнерстве с Apsafe. Мы встроили наш движок контейнерной безопасности напрямую в платформу от УЦСБ. И вот что это дает на практике: 🔹 Luntry отвечает за «мускулы» и глубокую экспертизу: мы обеспечиваем защиту на всех этапах — от анализа runtime-образов и формирования SBOM до блокировки аномалий в Runtime, генерации NetworkPolicy и Admission-контроля. 🔹 Apsafe отвечает за «мозг» и сервис: они предоставляют единую консоль управления, берут на себя тонкую настройку политик (плавный переход от аудита к блокировке) и бесшовную интеграцию с SOC. Мы делаем сложное простым, а разрозненное — единым. 👉 Подробно о том, как работает наше решение, и реальный кейс внедрения читайте в статье на сайте Apsafe

🚀 Luntry — партнер IT Elements 2026! 9–10 сентября едем на конференцию с полным боевым комплектом! Ищите нас на стенде — будет жарко🔥. Что вас ждет на нашем стенде: 🧠 Хардкорный квиз: проверьте свои знания о безопасности контейнеров и Kubernetes (спойлер: будет непросто, но интересно). 🎰 Лототрон с мощным призом: крутите барабан и выигрывайте билет на главную отраслевую конференцию по безопасности контейнеров и Kubernetes — БеКон 2027! 🎁 Уникальный лимитированный мерч, которого больше не будет. Поговорим о защите контейнеров, DevSecOps-практиках и реальных кейсах. Приходите за знаниями, общением и крутыми призами! 👉 Подробнее о конференции До встречи! 🫶

💥Через несколько минут начнем вебинар «Большой релиз Luntry 4.6: что нового в защите контейнеров и как это применить на практике» Подключайтесь заранее, старт в 11:00 👉 Смотреть трансляцию

🔹 Luntry в Hall of Fame: нашли уязвимость в CloudNativePG CloudNativePG — оператор PostgreSQL для Kubernetes, который позволяет запускать и управлять production-базами данных непосредственно в контейнерных средах с полной автоматизацией, high availability и backup'ами. Наша R'n'D-команда обнаружила уязвимость, которая могла привести к отказу в обслуживании пользовательских инстансов баз данных. Мейнтейнеры CloudNativePG оперативно выпустили исправление и публично поблагодарили нашу команду. 🔗 Security Advisory 💡 Почему это важно? Базы данных — это сердце любой компании, где хранятся самые критичные данные. Уязвимость в операторе, управляющем PostgreSQL в Kubernetes, — это потенциальный вектор для компрометации данных. 🔥 Ставьте огонь, если считаете, что такие находки делают всю индустрию сильнее! 📖 Хотите узнать всё и сразу? Мы уже опубликовали большую статью на сайте #5 из 5 в серии постов о вкладе Luntry в безопасность мирового Open Source

🔹 Luntry в Hall of Fame: нашли уязвимость в Rancher Fleet Rancher Fleet — GitOps-решение для централизованного управления Kubernetes-кластерами. Оно позволяет одновременно развертывать приложения и применять конфигурации на сотнях и тысячах кластеров, что делает его удобным инструментом для крупных инфраструктур. Наша команда обнаружила уязвимость, которая потенциально давала доступ к управлению множественными кластерами. Команда Rancher оперативно выпустила патч и публично поблагодарила нас за ответственный disclosure. 🔗 Security Advisory 💡 Почему это важно? Fleet работает на верхнем уровне абстракции — он управляет множеством кластеров. Уязвимость в таком инструменте даёт потенциальный доступ к огромному количеству инфраструктур одновременно. 🔥 Ставьте огонь, если считаете, что такие находки делают всю индустрию сильнее! 📖 Хотите узнать всё и сразу? Мы уже опубликовали большую статью на сайте #4 из 5 в серии постов о вкладе Luntry в безопасность мирового Open Source

🔹 Luntry в Hall of Fame: нашли уязвимость в Kyverno Kyverno — это policy engine для Kubernetes, который позволяет управлять политиками безопасности как кодом. А policy-reporter — его ключевой компонент, отвечающий за отчётность и аудит применения политик в кластере. Без него невозможно понять, какие политики работают, а какие нарушаются. Наша команда обнаружила уязвимость в policy-reporter, которая позволяла атакующему с правом записи PolicyReport в кластере выполнить произвольный JS в браузере админа, открывшего дашборд, — и тем самым угнать его сессию и действовать от его имени. Мейнтейнеры Kyverno оперативно отреагировали и опубликовали публичную благодарность нашей команде. 🔗 Security Advisory 💡 Почему это важно? Policy engine — это один из главных инструментов обеспечения безопасности Kubernetes. Если скомпрометирован компонент, отвечающий за отчётность по политикам, атакующий может скрыть нарушения и остаться незамеченным. Наше исследование закрывает этот критичный вектор для всех пользователей Kyverno. 🔥 Ставьте огонь, если считаете, что такие находки делают всю индустрию сильнее! 📖 Хотите узнать всё и сразу? Мы уже опубликовали большую статью на сайте #3 из 5 в серии постов о вкладе Luntry в безопасность мирового Open Source.