| 服务 | kubelet read-only API（10255，已移除） |
|---|---|
| 协议 | TCP/HTTP（10255） |
| 用途 | 历史只读查询（无认证！） |
| 安全等级 | 应彻底关闭 |
扫描器命中 10255 基本等于直接拿到该节点的 Pod/容器清单与镜像仓库地址；老集群必须升级或显式关掉。
核验与处置
核验与处置
curl -s http://node01:10255/pods | head -c 300
# 输出非空 = 高危；升级 kubelet 或 --read-only-port=010255 kubelet 只读端口（已废弃）
旧版 kubelet 的只读 API：无需认证即可读 Pod 列表与容器信息，Kubernetes 1.16 起默认移除——见到它说明节点组件非常旧。
易错点
- 按"只读所以无害"放过 10255：Pod 拓扑与镜像信息足够规划下一步入侵
数据来源与参考
- Kubernetes 官方文档（read-only port 10255 移除说明）