容器管理系統Kubernetes(K8S)存弱點,入侵者可擴權操作

 

圖片來源:https://codingcompiler.com/wp-content/uploads/2018/01/kubernetes-tutorials.png

開源工具K8S初始由Google設計,乃是容器叢集管理系統,Kubernetes本意係舵手(希臘語),能管理Docker等建置的容器,經Darren Shepherd分析指出,其Kubernetes API server因權限配置瑕疵,處理惡意proxy request時,留下TCP連線,無論入侵者是否通過身分驗證,皆能利用既有TLS憑證作掩護,經由該連線接觸後台server,且隨意發送request,即使匿名人士也可擴權操作,達到顯示pod清單、執行指令、取得輸出結果等目的,本項漏洞之CVSS評分9.8,屬嚴重等級,不容輕忽。Linux Foundation已就各版Kubernetes公布升級軟體,唯Kubernetes 1.0.x-1.9.x系列舊版不在維護範圍,須規劃安裝新版,若作業環境無法立即更新,可調整設定,停止「群集API使用權、匿名帳號請求」等危險授權項目。

影響產品:

  • Kubernetes 1.0.x-1.9.x
  • Kubernetes 1.10.0-1.10.10
  • Kubernetes 1.11.0-1.11.4
  • Kubernetes 1.12.0-1.12.2

解決辦法:

資料來源:

回到頂端