阿里云漏洞库

漏洞描述

Kubernetes是美国Linux基金会的一套开源的Docker容器集群管理系统。该系统为容器化的应用提供资源调度、部署运行、服务发现和扩容缩容等功能。

Kubernetes 存在安全漏洞，该漏洞源于授权用户可能能够访问Kubernetes控制平面组件上的专用网络。只有当不受信任的用户可以创建或修改Node对象及其代理，或者不受信任的用户可以创建或修改StorageClass对象并访问KubeControllerManager日志时，Kubernetes集群才会受到影响。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://bugzilla.redhat.com/show_bug.cgi?id=1954914

参考链接
https://access.redhat.com/security/cve/cve-2020-8562
https://github.com/kubernetes/kubernetes/issues/101493
https://groups.google.com/g/kubernetes-security-announce/c/-MFX60_wdOY
https://security.netapp.com/advisory/ntap-20220225-0002/
https://vigilance.fr/vulnerability/Kubernetes-privilege-escalation-35243

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	kubernetes	kubernetes	*		Up to (including) 1.18.18
	运行在以下环境
	应用	kubernetes	kubernetes	*		Up to (including) 1.19.10
	运行在以下环境
	应用	kubernetes	kubernetes	*		Up to (including) 1.20.6
	运行在以下环境
	应用	kubernetes	kubernetes	*		Up to (including) 1.21.0
	运行在以下环境
	系统	debian_11	kubernetes	*		Up to (excluding) 1.20.5+really1.20.2-1
	运行在以下环境
	系统	debian_12	kubernetes	*		Up to (excluding) 1.20.5+really1.20.2-1

攻击路径

远程
攻击复杂度

困难
权限要求

普通权限
影响范围

越权影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

数据泄露
数据完整性

无影响
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
CWE-367	检查时间与使用时间(TOCTOU)的竞争条件

中危 绕过API Server对内网Proxy请求的IP限制

漏洞描述

解决建议

参考链接

受影响软件情况

中危绕过API Server对内网Proxy请求的IP限制