Se ha presentado OperTraitor, una nueva herramienta de seguridad de código abierto que identifica rutas peligrosas de escalada de privilegios en los operadores de Kubernetes. La herramienta analiza los manifiestos de los operadores para detectar si poseen permisos excesivos de control de acceso basado en roles (RBAC), comparando sus funciones documentadas con los permisos reales otorgados a sus cuentas de servicio.

Una nueva herramienta de seguridad de código abierto, OperTraitor, ha revelado cómo los operadores de Kubernetes pueden crear peligrosas rutas de escalada de privilegios cuando reciben permisos excesivos de control de acceso basado en roles (RBAC).

La herramienta analiza los manifiestos del operador y compara su función documentada con los permisos realmente concedidos a sus cuentas de servicio.

Los operadores de Kubernetes automatizan tareas administrativas como el despliegue de bases de datos, la monitorización de cargas de trabajo y la gestión de recursos de infraestructura. Utilizan definiciones de recursos personalizados y controladores para comparar continuamente el estado deseado de un clúster con su estado real.

Para hacer esto, los operadores necesitan cuentas de servicio de Kubernetes con permisos RBAC. Sin embargo, a muchos operadores se les otorgan permisos amplios por conveniencia.

En algunos casos, los desarrolladores utilizan comodines en los permisos o ClusterRoles a nivel de todo el clúster en lugar de restringir el acceso a los espacios de nombres (namespaces) y recursos que un operador necesita genuinamente.

Si un atacante compromete a dicho operador a través de una imagen de contenedor vulnerable, un fallo de dependencia o un ataque a la cadena de suministro, esos permisos pueden convertir una brecha limitada en un incidente que afecte a todo el clúster.

Herramienta OperTraitor

OperTraitor, lanzada por Palo Alto Networks, examina los manifiestos YAML de RBAC de los operadores de Kubernetes instalados localmente y del catálogo OperatorHub.

Utiliza un motor de análisis impulsado por LLM para identificar diferencias entre el propósito declarado de un operador y sus privilegios reales. La herramienta asigna entonces una puntuación de riesgo normalizada del 1 al 10, ayudándote a identificar operadores que podrían necesitar permisos de RBAC reducidos.

La investigación descubrió que más del 5% de los operadores examinados solicitaban permisos excesivos, incluyendo rutas potenciales para obtener acceso de administrador del clúster.

El problema es especialmente preocupante para los operadores antiguos o abandonados que todavía están disponibles a través de OperatorHub y el Operator Lifecycle Manager.

Aunque los proveedores puedan publicar versiones más recientes a través de Helm charts, GitHub o ArtifactHub, las versiones obsoletas pueden permanecer disponibles en los registros predeterminados y podrían seguir siendo desplegadas por los usuarios.

Un caso involucró al operador Prometurbo de IBM, utilizado con IBM Turbonomic. OperTraitor identificó que el operador tenía permisos a nivel de clúster para obtener, listar y observar los Secretos de Kubernetes.

Esto significaba que un operador comprometido podría potencialmente acceder a datos sensibles de espacios de nombres no relacionados, incluyendo tokens de cuentas de servicio, credenciales de bases de datos, claves de API y certificados TLS.

IBM solucionó el problema tras una divulgación responsable, asignando al CVE-2026-6389 una calificación de severidad Alta de CVSS 8.8 y reduciendo los permisos del operador para seguir mejor los principios de privilegio mínimo.

OperTraitor también señaló al operador de Datadog por tener un acceso amplio a Secretos y recursos de RBAC como ClusterRoles y ClusterRoleBindings.

Datadog afirmó que algunos permisos eran necesarios porque los usuarios pueden definir nombres de secretos dinámicamente, lo que dificulta restringirlos de antemano. El proveedor publicó documentación explicando sus permisos y las mitigaciones disponibles, permitiendo que sus clientes evalúen el riesgo.

Los hallazgos resaltan los riesgos crecientes a medida que Kubernetes adopta operadores agentes y mejorados con LLM, que pueden tomar decisiones autónomas, llamar a servicios externos y gestionar ciclos de vida de agentes; los privilegios excesivos de RBAC podrían exponer datos sensibles del clúster o permitir acciones no deseadas a gran escala.

Tus equipos de seguridad deberían revisar la cuenta de servicio de cada operador, evitar el despliegue de paquetes de registros obsoletos y priorizar los Roles limitados al espacio de nombres sobre los ClusterRoles a nivel de clúster siempre que sea posible.

La monitorización de los registros de auditoría de Kubernetes también puede ayudarte a identificar comportamientos inusuales, como un operador intentando leer Secretos de espacios de nombres no relacionados.

OperTraitor te ofrece una forma de detectar identidades no humanas riesgosas antes de que se conviertan en una ruta hacia el compromiso total de tu clúster de Kubernetes.

Fuentes:
https://cybersecuritynews.com/opertraitors-tool/