高危 kube-proxy 边界限制访问绕过漏洞（CVE-2020-8558）
CVE编号
CVE-2020-8558利用情况
POC 已公开补丁情况
官方补丁披露时间
2020-07-28漏洞描述
Kubernetes是美国Linux基金会的一套开源的Docker容器集群管理系统。该系统为容器化的应用提供资源调度、部署运行、服务发现和扩容缩容等功能。 Kubernetes中的Kubelet和kube-proxy 1.1.0版本至1.16.10版本、1.17.0版本至1.17.6版本和1.18.0版本至1.18.3版本中存在授权问题漏洞。攻击者可利用该漏洞获取权限或访问监听本地主机端口的任意服务的敏感信息。解决建议
1、当前ACK集群默认关闭API Server 8080非认证端口，请勿手动开启该端口。2、执行以下命令，在集群中配置iptables规则，用于拒绝非本地对127.0.0.1的访问流量。 iptables -I INPUT --dst 127.0.0.0/8 ! --src 127.0.0.0/8 -m conntrack ! --ctstate RELATED,ESTABLISHED,DNAT -j DROP3、严格控制集群节点共享主机的登录权限，及时吊销可能泄露的kubeconfig集群访问凭证。4、禁止Container开启CAP_NET_RAW能力，执行以下命令，可以在pod spec中关闭Container的CAP_NET_RAW能力。securityContext: capabilities: drop: ["NET_RAW"]5、通过PodSecurityPolicy策略限制部署特权或共享主机网络容器，另外可以通过在策略中配置requiredDropCapabilities强制容器部署关闭CAP_NET_RAW能力。
参考链接 |
|
|---|---|
| https://github.com/kubernetes/kubernetes/issues/92315 | |
| https://groups.google.com/g/kubernetes-announce/c/sI4KmlH3S2I/m/TljjxOBvBQAJ | |
| https://security.netapp.com/advisory/ntap-20200821-0001/ |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | kubernetes | kubernetes | * | From (including) 1.1.0 | Up to (including) 1.16.10 | ||||
| 运行在以下环境 | |||||||||
| 应用 | kubernetes | kubernetes | * | From (including) 1.17.0 | Up to (including) 1.17.6 | ||||
| 运行在以下环境 | |||||||||
| 应用 | kubernetes | kubernetes | * | From (including) 1.18.0 | Up to (including) 1.18.3 | ||||
| 运行在以下环境 | |||||||||
| 系统 | debian_11 | kubernetes | * | Up to (excluding) 1.18.5-1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_12 | kubernetes | * | Up to (excluding) 1.18.5-1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_sid | kubernetes | * | Up to (excluding) 1.18.5-1 | |||||
- 攻击路径 远程
- 攻击复杂度 复杂
- 权限要求 无需权限
- 影响范围 全局影响
- EXP成熟度 POC 已公开
- 补丁情况 官方补丁
- 数据保密性 数据泄露
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| CWE-287 | 认证机制不恰当 |
| NVD-CWE-Other |
Exp相关链接
- avd.aliyun.com
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论