阿里云容器服務Kubernetes 已修復漏洞CVE-2018-1002105,本文介紹該漏洞的影響及解決方法。
背景信息
Kubernetes社區發現安全漏洞:CVE-2018-1002105。Kubernetes用戶可通過偽造請求,在已建立的API Server連接上提升權限訪問后端服務,目前阿里云容器服務Kubernetes已修復此漏洞,請登錄容器服務管理控制臺升級您的Kubernetes版本。
漏洞CVE-2018-1002105詳細信息,請參見CVE-2018-1002105。
影響版本
Kubernetes v1.0.x-1.9.x
Kubernetes v1.10.0-1.10.10 (fixed in v1.10.11)
Kubernetes v1.11.0-1.11.4 (fixed in v1.11.5)
Kubernetes v1.12.0-1.12.2 (fixed in v1.12.3)
影響配置
容器服務Kubernetes集群啟用了擴展API Server,并且kube-apiserver與擴展API Server的網絡直接連通。
容器服務Kubernetes集群開放了 pod exec/attach/portforward 接口,用戶可以利用該漏洞獲得所有的kubelet API訪問權限。
阿里云容器服務Kubernetes集群配置
阿里云容器服務Kubernetes集群的API Server默認開啟了RBAC,通過主賬號授權管理默認禁止了匿名用戶訪問。同時Kubelet 啟動參數為
anonymous-auth=false
,提供了安全訪問控制,防止外部入侵。對于使用子賬號的多租戶容器服務Kubernetes集群用戶,子賬號可能通過pod exec/attach/portforward 接口越權訪問。如果集群只有管理員用戶,則無需過度擔心。
子賬號在不經過主賬號自定義授權的情況下默認不具有聚合API資源的訪問權限。
解決方法
請登錄容器服務管理控制臺,升級您的集群,升級的注意事項及具體的操作步驟,請參見升級ACK集群。
如果您的集群版本為1.11.2請升級到1.11.5。
如果您的集群版本為1.10.4請升級到1.10.11或1.11.5版本。
如果您的集群版本為1.9及以下版本,請升級到1.10.11或1.11.5版本。在1.9版本升級1.10或1.11版本時,如集群使用了云盤數據卷,需在控制臺先升級flexvolume插件。
說明在容器服務管理控制臺上,選擇目標集群,單擊導航欄
,在系統組件升級頁面,選擇flexvolume組件,單擊升級。
由于ASK在此漏洞發生前已進行加固,用戶不受影響。