|
【漏洞描述】 安全研究人员发现Kubernetes一个安全问题，官方已发布通告，Kubernetes 节点的设置允许相邻主机绕过本地主机边界。 kube-proxy组件在iptables和ipvs模式下均需要设置内核参数 net.ipv4.conf.all.route_localnet=1， 从而允许本地回环访问。 k8s集群节点上如果有绑定在127.0.0.1上的服务，则该服务可以被同一个LAN或二层网络上的主机访问，从而获取接口信息。如果服务没有设置必要的安全认证，可能造成信息泄露风险。 Kubernetes是一个开源系统，用于跨多台主机管理容器化的应用程序。它为应用程序的部署、维护和扩展提供了基本机制。 【漏洞编号】CVE-2020-8558 【漏洞等级】 在典型集群中，风险等级为中风险（cvss评分：5.4） 在尚未禁用API服务器不安全端口的集群中，风险等级为高风险（cvss评分：8.8） 【影响范围】 下列版本的kube-proxy组件受此漏洞影响： kube-proxy v1.18.0~v1.18.3 kube-proxy v1.17.0~v1.17.6 kube-proxy <= v1.16.10 【安全版本】 kube-proxy v1.18.4+ kube-proxy v1.17.7+ kube-proxy v1.16.11+ 【漏洞修复和缓解方案】 腾讯安全专家建议相关用户参考以下文档升级修复 暂不方便升级的，可采取以下漏洞缓解措施： 1.升级之前，可以通过在节点上手动添加iptables规则来缓解此漏洞。此规则将拒绝来自节点的流量至127.0.0.1。 iptables -I INPUT --dst 127.0.0.0/8 ! --src 127.0.0.0/8 -m conntrack ! --ctstate RELATED,ESTABLISHED,DNAT -j DROP 2.如果您的集群尚未禁用API Server不安全端口，强烈建议禁用它。将以下标志添加到kubernetes API服务器命令行中：--insecure-port=0 建议同时更新两者kubelet并kube-proxy确保已解决该问题。 【腾讯安全解决方案】 腾讯主机安全产品已支持检测云主机系统是否受CVE-2020-8558漏洞影响 【参考链接】
| 
发表于 2020-7-10 18:55:54
