漏洞关键信息 CVE ID: CVE-2026-24005 漏洞类型: SSRF (Server-Side Request Forgery) via Unrestricted Host Field 受影响版本: <v1.8.0 修复版本: v1.8.3, v1.7.5 漏洞描述: PodProbeMarker允许定义使用TCP Socket或HTTP Get处理器的自定义探针。Webhook验证不限制探针配置中的Host字段。由于kruise-daemon以hostNetwork=true运行，因此从节点网络命名空间执行探针。具有PodProbeMarker创建权限的攻击者可以指定任意Host值（127.0.0.1、169.254.169.254、内部IP）以从节点触发SSRF，执行端口扫描，并通过NodePodProbe状态消息接收响应。 严重性: 低 CVSS v3 基础度量: - 攻击向量: 网络 - 攻击复杂度: 低 - 所需权限: 低 - 用户交互: 无 - 范围: 未更改 - 机密性: 无 - 完整性: 无 - 可用性: 无 弱项: - CWE-20 - CWE-918 CVE ID: CVE-2026-24005 报告人: b0b0haha 修复建议: - 临时缓解措施: - 限制PodProbeMarker创建权限 - 应用网络策略限制kruise-daemon的外发流量 - 审查现有PodProbeMarker资源 - 永久修复: - 在webhook验证中实施Host字段限制 - 拒绝私有IP范围(127.0.0.0/8, 10.0.0.0/8, 169.254.0.0/16) - 要求Host为空或与PodIP相等 - 清理NodePodProbe状态中的错误信息 验证环境: kind v1.30.0 + OpenKruise v1.8.0