kubescape analysis.

[zakkg3]

root@adfd1abf3eff:/# kubescape scan https://github.com/zakkg3/ClusterSecret/tree/master/charts/cluster-secret -v
✅ Initialized scanner
✅ Loaded policies
✅ Loaded exceptions
✅ Loaded account configurations
ℹ️ cloning. repository url: https://github.com/zakkg3/ClusterSecret
✅ Done accessing local objects
Control: C-0012 100% |████████████████████████████████████████████████████████████████████████| (48/48, 81 it/s)
✅ Done scanning Repo
✅ Done aggregating results

^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

################################################################################
ApiVersion:
Kind: ServiceAccount
Name: -cluster-secret-account

Controls: 10 (Failed: 3, action required: 0)

┌────────────────────────────────────────────────────────────────┐
│                           RESOURCES                            │
├────────────────────────────────────────────────────────────────┤
│ Severity             : High                                    │
│ Control Name         : List Kubernetes secrets                 │
│ Docs                 : https://hub.armosec.io/docs/c-0015      │
│ Assisted Remediation : relatedObjects[1].rules[6].resources[0] │
│                        relatedObjects[1].rules[6].verbs[0]     │
│                        relatedObjects[1].rules[6].verbs[1]     │
│                        relatedObjects[1].rules[6].verbs[2]     │
│                        relatedObjects[1].rules[6].apiGroups[0] │
│                        relatedObjects[0].subjects[0]           │
│                        relatedObjects[0].roleRef.name          │
├────────────────────────────────────────────────────────────────┤
│ Severity             : Medium                                  │
│ Control Name         : Access container service account        │
│ Docs                 : https://hub.armosec.io/docs/c-0053      │
│ Assisted Remediation :                                         │
├────────────────────────────────────────────────────────────────┤
│ Severity             : Medium                                  │
│ Control Name         : Data Destruction                        │
│ Docs                 : https://hub.armosec.io/docs/c-0007      │
│ Assisted Remediation : relatedObjects[1].rules[6].resources[0] │
│                        relatedObjects[1].rules[6].verbs[6]     │
│                        relatedObjects[1].rules[6].apiGroups[0] │
│                        relatedObjects[0].subjects[0]           │
│                        relatedObjects[0].roleRef.name          │
└────────────────────────────────────────────────────────────────┘

################################################################################
ApiVersion:
Kind: ServiceAccount
Name: -cluster-secret-account

Controls: 10 (Failed: 1, action required: 0)

┌───────────────────────────────────────────────────────────┐
│                         RESOURCES                         │
├───────────────────────────────────────────────────────────┤
│ Severity             : Medium                             │
│ Control Name         : Access container service account   │
│ Docs                 : https://hub.armosec.io/docs/c-0053 │
│ Assisted Remediation :                                    │
└───────────────────────────────────────────────────────────┘

################################################################################
Source: charts/cluster-secret/templates/deployment.yaml
ApiVersion: apps/v1
Kind: Deployment
Name: -cluster-secret-clustersecret

Controls: 29 (Failed: 11, action required: 2)

┌─────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│                                                RESOURCES                                                │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Severity             : High                                                                             │
│ Control Name         : Applications credentials in configuration files                                  │
│ Docs                 : https://hub.armosec.io/docs/c-0012                                               │
│ Assisted Remediation : spec.template.spec.containers[0].env[1].name                                     │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Severity             : High                                                                             │
│ Control Name         : Resource limits                                                                  │
│ Docs                 : https://hub.armosec.io/docs/c-0009                                               │
│ Assisted Remediation : spec.template.spec.containers[0].resources.limits.cpu=YOUR_VALUE                 │
│                        spec.template.spec.containers[0].resources.limits.memory=YOUR_VALUE              │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Severity             : High                                                                             │
│ Control Name         : Resources CPU limit and request                                                  │
│ Docs                 : https://hub.armosec.io/docs/c-0050                                               │
│ Assisted Remediation : spec.template.spec.containers[0].resources.limits.cpu=YOUR_VALUE                 │
│                        spec.template.spec.containers[0].resources.requests.cpu=YOUR_VALUE               │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Severity             : High                                                                             │
│ Control Name         : Resources memory limit and request                                               │
│ Docs                 : https://hub.armosec.io/docs/c-0004                                               │
│ Assisted Remediation : spec.template.spec.containers[0].resources.limits.memory=YOUR_VALUE              │
│                        spec.template.spec.containers[0].resources.requests.memory=YOUR_VALUE            │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Severity             : Medium                                                                           │
│ Control Name         : Allow privilege escalation                                                       │
│ Docs                 : https://hub.armosec.io/docs/c-0016                                               │
│ Assisted Remediation : spec.template.spec.containers[0].securityContext.allowPrivilegeEscalation=false  │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Severity             : Medium                                                                           │
│ Control Name         : Ingress and Egress blocked                                                       │
│ Docs                 : https://hub.armosec.io/docs/c-0030                                               │
│ Assisted Remediation :                                                                                  │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Severity             : Medium                                                                           │
│ Control Name         : Linux hardening                                                                  │
│ Docs                 : https://hub.armosec.io/docs/c-0055                                               │
│ Assisted Remediation : spec.template.spec.containers[0].securityContext.seccompProfile=YOUR_VALUE       │
│                        spec.template.spec.containers[0].securityContext.seLinuxOptions=YOUR_VALUE       │
│                        spec.template.spec.containers[0].securityContext.capabilities.drop[0]=YOUR_VALUE │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Severity             : Medium                                                                           │
│ Control Name         : Non-root containers                                                              │
│ Docs                 : https://hub.armosec.io/docs/c-0013                                               │
│ Assisted Remediation : spec.template.spec.containers[0].securityContext.runAsNonRoot=true               │
│                        spec.template.spec.containers[0].securityContext.allowPrivilegeEscalation=false  │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Severity             : Low                                                                              │
│ Control Name         : Configured readiness probe                                                       │
│ Docs                 : https://hub.armosec.io/docs/c-0018                                               │
│ Assisted Remediation : spec.template.spec.containers[0].readinessProbe=YOUR_VALUE                       │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Severity             : Low                                                                              │
│ Control Name         : Immutable container filesystem                                                   │
│ Docs                 : https://hub.armosec.io/docs/c-0017                                               │
│ Assisted Remediation : spec.template.spec.containers[0].securityContext.readOnlyRootFilesystem=true     │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Severity             : Low                                                                              │
│ Control Name         : Pods in default namespace                                                        │
│ Docs                 : https://hub.armosec.io/docs/c-0061                                               │
│ Assisted Remediation : metadata.namespace=YOUR_NAMESPACE                                                │
└─────────────────────────────────────────────────────────────────────────────────────────────────────────┘


Controls: 48 (Failed: 14, Passed: 32, Action Required: 2)
Failed Resources by Severity: Critical — 0, High — 5, Medium — 7, Low — 3

┌────────────────────────────────────────────────────────────────────────────┐
│                                  CONTROLS                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Critical                                              │
│ Control Name       : CVE-2022-39328-grafana-auth-bypass                    │
│ Failed Resources   : 0                                                     │
│ All Resources      : 0                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : Forbidden Container Registries                        │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : Action Required *                                     │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : Resources memory limit and request                    │
│ Failed Resources   : 1                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 0%                                                    │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : Resource limits                                       │
│ Failed Resources   : 1                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 0%                                                    │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : Applications credentials in configuration files       │
│ Failed Resources   : 1                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 0%                                                    │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : List Kubernetes secrets                               │
│ Failed Resources   : 1                                                     │
│ All Resources      : 2                                                     │
│ % Compliance-Score : 50%                                                   │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : Host PID/IPC privileges                               │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : HostNetwork access                                    │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : Writable hostPath mount                               │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : Insecure capabilities                                 │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : HostPath mount                                        │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : Resources CPU limit and request                       │
│ Failed Resources   : 1                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 0%                                                    │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : Privileged container                                  │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : CVE-2021-25742-nginx-ingress-snippet-annotation-vu... │
│ Failed Resources   : 0                                                     │
│ All Resources      : 0                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : High                                                  │
│ Control Name       : CVE-2022-47633-kyverno-signature-bypass               │
│ Failed Resources   : 0                                                     │
│ All Resources      : 0                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Exec into container                                   │
│ Failed Resources   : 0                                                     │
│ All Resources      : 2                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Data Destruction                                      │
│ Failed Resources   : 1                                                     │
│ All Resources      : 2                                                     │
│ % Compliance-Score : 50%                                                   │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Non-root containers                                   │
│ Failed Resources   : 1                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 0%                                                    │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Allow privilege escalation                            │
│ Failed Resources   : 1                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 0%                                                    │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Mount service principal                               │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Ingress and Egress blocked                            │
│ Failed Resources   : 1                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 0%                                                    │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Delete Kubernetes events                              │
│ Failed Resources   : 0                                                     │
│ All Resources      : 2                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Automatic mapping of service account                  │
│ Failed Resources   : 0                                                     │
│ All Resources      : 2                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Cluster-admin binding                                 │
│ Failed Resources   : 0                                                     │
│ All Resources      : 2                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : CoreDNS poisoning                                     │
│ Failed Resources   : 0                                                     │
│ All Resources      : 2                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Container hostPort                                    │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Access container service account                      │
│ Failed Resources   : 2                                                     │
│ All Resources      : 2                                                     │
│ % Compliance-Score : 0%                                                    │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Cluster internal networking                           │
│ Failed Resources   : 0                                                     │
│ All Resources      : 0                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Linux hardening                                       │
│ Failed Resources   : 1                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 0%                                                    │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Configured liveness probe                             │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Sudo in container entrypoint                          │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Portforwarding privileges                             │
│ Failed Resources   : 0                                                     │
│ All Resources      : 2                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : No impersonation                                      │
│ Failed Resources   : 0                                                     │
│ All Resources      : 2                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Container runtime socket mounted                      │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Images from allowed registry                          │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : Action Required *                                     │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : CVE-2022-24348-argocddirtraversal                     │
│ Failed Resources   : 0                                                     │
│ All Resources      : 0                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Medium                                                │
│ Control Name       : Anonymous access enabled                              │
│ Failed Resources   : 0                                                     │
│ All Resources      : 2                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Low                                                   │
│ Control Name       : Access Kubernetes dashboard                           │
│ Failed Resources   : 0                                                     │
│ All Resources      : 3                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Low                                                   │
│ Control Name       : Immutable container filesystem                        │
│ Failed Resources   : 1                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 0%                                                    │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Low                                                   │
│ Control Name       : Configured readiness probe                            │
│ Failed Resources   : 1                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 0%                                                    │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Low                                                   │
│ Control Name       : SSH server running inside container                   │
│ Failed Resources   : 0                                                     │
│ All Resources      : 0                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Low                                                   │
│ Control Name       : Network mapping                                       │
│ Failed Resources   : 0                                                     │
│ All Resources      : 0                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Low                                                   │
│ Control Name       : Pods in default namespace                             │
│ Failed Resources   : 1                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 0%                                                    │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Low                                                   │
│ Control Name       : PSP enabled                                           │
│ Failed Resources   : 0                                                     │
│ All Resources      : 0                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Low                                                   │
│ Control Name       : Naked PODs                                            │
│ Failed Resources   : 0                                                     │
│ All Resources      : 0                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Low                                                   │
│ Control Name       : Image pull policy on latest tag                       │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Low                                                   │
│ Control Name       : Label usage for resources                             │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│ Severity           : Low                                                   │
│ Control Name       : K8s common labels usage                               │
│ Failed Resources   : 0                                                     │
│ All Resources      : 1                                                     │
│ % Compliance-Score : 100%                                                  │
├────────────────────────────────────────────────────────────────────────────┤
│                              RESOURCE SUMMARY                              │
│                                                                            │
│                            FAILED RESOURCES : 3                            │
│                            ALL RESOURCES    : 6                            │
│                       % COMPLIANCE-SCORE    : 68.75%                       │
└────────────────────────────────────────────────────────────────────────────┘

FRAMEWORKS: AllControls (compliance: 68.09), NSA (compliance: 61.11), MITRE (compliance: 82.35)

• Control configurations are empty