Kubernetes容器节点漏洞(CVE-2020-8558)绕过本地主机边界通告,腾讯云镜支持检测

2020-07-10 15:31:15
安全研究人员发现Kubernetes一个安全问题,官方已发布通告,Kubernetes 节点的设置允许相邻主机绕过本地主机边界。

【漏洞描述】

安全研究人员发现Kubernetes一个安全问题,官方已发布通告,Kubernetes 节点的设置允许相邻主机绕过本地主机边界。


kube-proxy组件在iptables和ipvs模式下均需要设置内核参数 net.ipv4.conf.all.route_localnet=1, 从而允许本地回环访问。


k8s集群节点上如果有绑定在127.0.0.1上的服务,则该服务可以被同一个LAN或二层网络上的主机访问,从而获取接口信息。如果服务没有设置必要的安全认证,可能造成信息泄露风险。

 

Kubernetes是一个开源系统,用于跨多台主机管理容器化的应用程序。它为应用程序的部署、维护和扩展提供了基本机制。

 

【漏洞编号】CVE-2020-8558

 

【漏洞等级】

在典型集群中,风险等级为中风险(cvss评分:5.4)

在尚未禁用API服务器不安全端口的集群中,风险等级为高风险(cvss评分:8.8)

 

【影响范围】

下列版本的kube-proxy组件受此漏洞影响:

kube-proxy v1.18.0~v1.18.3

kube-proxy v1.17.0~v1.17.6

kube-proxy <= v1.16.10

 

【安全版本】

kube-proxy v1.18.4+

kube-proxy v1.17.7+

kube-proxy v1.16.11+

 

【漏洞修复和缓解方案】

腾讯安全专家建议相关用户参考以下文档升级修复

https://kubernetes.io/docs/tasks/administer-cluster/cluster-management/#upgrading-a-cluster

 

暂不方便升级的,可采取以下漏洞缓解措施:

1.升级之前,可以通过在节点上手动添加iptables规则来缓解此漏洞。此规则将拒绝来自节点的流量至127.0.0.1。

 

iptables -I INPUT --dst 127.0.0.0/8 ! --src 127.0.0.0/8 -m conntrack ! --ctstate RELATED,ESTABLISHED,DNAT -j DROP

 

2.如果您的集群尚未禁用API Server不安全端口,强烈建议禁用它。将以下标志添加到kubernetes API服务器命令行中:--insecure-port=0

 

【腾讯安全解决方案】

腾讯T-Sec主机安全(云镜)产品已支持检测云主机系统是否受CVE-2020-8558漏洞影响

腾讯主机安全(云镜)提供云上终端的防毒杀毒、防入侵、漏洞管理、基线管理等。关于T-Sec主机安全的更多信息,可参考:https://cloud.tencent.com/product/cwp

 

【参考链接】

https://www.openwall.com/lists/oss-security/2020/07/08/1

https://github.com/kubernetes/kubernetes/issues/92315

https://kubernetes.io/docs/tasks/administer-cluster/cluster-management/#upgrading-a-cluster 

最新资讯