可成為超級(jí)用戶root？

時(shí)間：2022-03-21 20:06:02 | 來(lái)源：行業(yè)動(dòng)態(tài)

時(shí)間：2022-03-21 20:06:02 來(lái)源：行業(yè)動(dòng)態(tài)

還有更糟糕的，在默認(rèn)配置中，所有的用戶（經(jīng)過(guò)身份驗(yàn)證和未經(jīng)身份驗(yàn)證的用戶）均可以調(diào)用發(fā)現(xiàn)API進(jìn)行權(quán)限升級(jí)。因此，任何知道這個(gè)漏洞的人都可以掌控你的Kubernetes集群。

還有最痛苦的事情，目前尚無(wú)簡(jiǎn)單的方法可以檢測(cè)容器的漏洞是否被有心人用過(guò)。由于未經(jīng)授權(quán)的請(qǐng)求是通過(guò)已建立的連接進(jìn)行的，因此這些請(qǐng)求不會(huì)出現(xiàn)在Kubernetes API服務(wù)器審核日志或服務(wù)器日志里。這些請(qǐng)求確會(huì)出現(xiàn)在kubelet或聚合API服務(wù)器日志里，但卻無(wú)法區(qū)分正確授權(quán)請(qǐng)求和經(jīng)Kubernetes API服務(wù)器代理的請(qǐng)求。

Red Hat]（https://www.redhat.com/en）的另一種說(shuō)法如下，該權(quán)限升級(jí)漏洞令使用任何計(jì)算節(jié)點(diǎn)的用戶可以在Kubernetes pod上獲得絕對(duì)管理員權(quán)限。 是個(gè)很大的問(wèn)題。（https://www.redhat.com/en/blog/kubernetes-privilege-escalation-flaw- innovation-still-needs-it-security-expertise）有心人不僅可以竊取敏感信息數(shù)據(jù)或注入惡意代碼，他們還可以從組織的防火墻內(nèi)關(guān)掉生產(chǎn)應(yīng)用程序和服務(wù)。

幸運(yùn)的是倒是有個(gè)修復(fù)辦法，但有些人不會(huì)喜歡這個(gè)修復(fù)辦法。辦法就是升級(jí)Kubernetes。更具體地說(shuō)，升級(jí)到補(bǔ)丁版Kubernetes v1.10.11（https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG-1.10.md/#v11011）、v1.11.5（https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG-1.11.md/#v1115）、v1.12.3（https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG-1.12.md/ ＃v1123）及v1.13.0-rc.1（https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG-1.13.md/#v1130-rc1）。

如果讀者仍在使用Kubernetes v1.0.x-1.9.x，請(qǐng)即刻停用。立即更新到上面的補(bǔ)丁版本。如果由于某種原因不能升級(jí)，也有救治方法，但這些救治方法幾乎比病源更糟糕。方法就是必須暫停使用聚合API服務(wù)器，并刪除那些不應(yīng)該擁有kubelet API完全訪問(wèn)權(quán)限用戶的pod exec/attach/portforward權(quán)限。修復(fù)該漏洞的谷歌軟件工程師Jordan Liggitt表示，這些緩解措施可能會(huì)導(dǎo)致系統(tǒng)的中斷。讀者覺(jué)得會(huì)嗎？