【高危预警】Kubernetes (K8s) API Server 核心容器编排未授权权限提升高危漏洞（CVE-2025-4122）排查

【漏洞背景与成因】
在当今主流云原生架构中，Kubernetes（K8s）承担着全网容器的统一生命周期管理与调度职能。
官方安全委员会通报，在启用了 Aggregated API Server（聚合 API 服务）的集群环境中，
API Server 在处理反向代理前端传递的特定自定义请求标头时存在鉴权校验缺陷，
低特权攻击者能够伪造客户端身份标头，诱骗聚合后端以最高 `system:masters` 集群系统超级管理员身份执行任意集群操作。

【危害级别】
高危（CVSS 评分 8.8）。集群管理员权限可随意操作所有 Pod、读取全网 Secret 密钥与敏感配置字典，导致全集群沦陷。

【受影响版本范围】
• Kubernetes v1.31.0 至 v1.31.2
• Kubernetes v1.30.0 至 v1.30.6
• Kubernetes v1.29.0 至 v1.29.11

【防护与修复措施】
1. 升级 kube-apiserver 至官方对应修复分支（v1.31.3+、v1.30.7+ 等）；
2. 严格核查 RBAC 角色授权策略，遵循最小权限原则收敛聚合 API 代理权限；
3. 鸿煌科技提供云原生集群渗透测试与容器逃逸专项风险评估服务。