Kubernetes v1.37 siết chặt bảo mật storage với bind mount options và quyền emptyDir
Kubernetes công bố các thay đổi bảo mật storage trong v1.37, tập trung vào bind mount options và quyền mặc định của emptyDir để giảm rủi ro trong workload production.
Chuyện gì vừa xảy ra
Kubernetes đăng bài ngày 16/09/2026 về nhóm thay đổi bảo mật storage trong v1.37: emptyDir permission modes và bind mount options. Đây không phải một bản vá CVE đơn lẻ, mà là thay đổi nền tảng giúp các cụm production biểu đạt chính sách storage chặt chẽ hơn ngay trong cấu hình workload.
Ai bị ảnh hưởng
Các đội đang vận hành Kubernetes với workload đa tenant, workload cần mount dữ liệu tạm, hoặc các môi trường có yêu cầu hardening cao nên chú ý. emptyDir vốn rất phổ biến cho cache, scratch space và dữ liệu tạm; khi quyền mặc định không được kiểm soát kỹ, pod có thể tạo ra bề mặt rủi ro khó thấy trong audit.
Tác động vận hành
Điểm đáng chú ý là thay đổi này cho phép policy bảo mật tiến gần hơn tới lớp khai báo Kubernetes, thay vì phụ thuộc hoàn toàn vào convention trong image hoặc script khởi động container. Với bind mount options, đội platform có thêm cách hạn chế hành vi không mong muốn trên mount point; với emptyDir permission modes, quyền thư mục tạm có thể được đặt nhất quán hơn giữa các môi trường.
Sysadmin cần theo dõi
Trước khi nâng cấp lên v1.37, nên rà soát workload đang dùng emptyDir, CSI và admission policy liên quan tới securityContext. Nếu tổ chức có baseline hardening riêng, đây là thời điểm tốt để cập nhật policy test, tài liệu vận hành và pipeline kiểm tra manifest. Các cụm có workload legacy cần thử trên staging vì thay đổi quyền file có thể làm lộ assumption cũ trong ứng dụng.