NET_ADMIN 能力安全隐患

Question

我正在尝试了解使用 --cap-add=NET_ADMIN 运行容器的安全隐患。容器将在 k8s 集群中运行，它们将执行用户提供的代码（我们无法控制并且可能是恶意的）。

据我了解，除非我添加 --network host 标志，否则容器将只能更改自己的网络堆栈。因此，它们可以破坏自己的网络，但不能以任何方式影响主机或其他容器。

这是正确的吗？在决定这样做是否安全时是否有任何考虑？

Answer 1

至少，他们能够在 pod 的网络适配器上打开混杂模式，然后可能会看到流向其他容器的流量。总的来说，这似乎是一个非常非常非常糟糕的主意。