【51CTO.com快譯】影響所有版本的Kubernetes的兩個(gè)高危漏洞可能讓未經(jīng)授權(quán)的攻擊者可以觸發(fā)拒絕服務(wù)(DoS)狀態(tài)，Kubernetes這個(gè)開源系統(tǒng)用于處理容器化的應(yīng)用程序。

Kubernetes的開發(fā)團(tuán)隊(duì)已經(jīng)發(fā)布了修補(bǔ)版本，以堵住這些新發(fā)現(xiàn)的安全漏洞，并阻止?jié)撛诠粽咩@漏洞的空子。

Kubernetes最初由谷歌使用Go開發(fā)而成，旨在幫助使主機(jī)集群上的容器化工作負(fù)載和服務(wù)的部署、擴(kuò)展和管理實(shí)現(xiàn)自動(dòng)化。

它通過將應(yīng)用程序容器組織到pod、節(jié)點(diǎn)(物理或虛擬機(jī))和集群來實(shí)現(xiàn)這一點(diǎn)，多個(gè)節(jié)點(diǎn)構(gòu)成由主系統(tǒng)(master)管理的集群，主系統(tǒng)負(fù)責(zé)協(xié)調(diào)與集群有關(guān)的任務(wù)，比如擴(kuò)展、調(diào)度或更新應(yīng)用程序。

[[274449]]

安全漏洞影響所有Kubernetes版本

Kubernetes產(chǎn)品安全委員會(huì)的Micah Hausler在Kubernetes安全問題公告列表上透露：“Go語言的net/http庫中發(fā)現(xiàn)了一個(gè)安全問題，影響了Kubernetes的所有版本和所有組件。”

“這些漏洞可能導(dǎo)致采用HTTP或HTTPS偵聽器的任何進(jìn)程面臨DoS，”所有版本的Kubernetes都受到影響。

Netflix在8月13日宣布發(fā)現(xiàn)了多個(gè)漏洞，這些漏洞使本身支持HTTP/2通信的服務(wù)器暴露在DoS攻擊面前。

在Netflix與安全公告一同發(fā)布的八個(gè)CVE中，其中兩個(gè)還影響Go和旨在服務(wù)于HTTP/2流量(包括 /healthz)的所有Kubernetes組件。

標(biāo)為CVE-2019-9512和CVE-2019-9514的這兩個(gè)漏洞已被Kubernetes產(chǎn)品安全委員會(huì)定為CVSS v3.0基礎(chǔ)分7.5;這兩個(gè)漏洞使“不可信任的客戶端可以分配無限量的內(nèi)存，直到服務(wù)器崩潰。”

• CVE-2019-9512 Ping Flood：攻擊者向HTTP/2對(duì)等體(peer)發(fā)送連續(xù)ping，導(dǎo)致對(duì)等體建立內(nèi)部響應(yīng)隊(duì)列。這可能消耗過多的CPU、內(nèi)存或CPU和內(nèi)存——這取決于該數(shù)據(jù)的隊(duì)列多高效，從而可能導(dǎo)致拒絕服務(wù)攻擊。
• CVE-2019-9514 Rest Flood：攻擊者打開多路數(shù)據(jù)流，并在每路數(shù)據(jù)流上發(fā)送無效請(qǐng)求，從而從對(duì)等體獲得RST_STREAM幀數(shù)據(jù)流。這會(huì)消耗過多的內(nèi)存、CPU或CPU和內(nèi)存——這取決于對(duì)等體如何將RST_STREAM幀列入隊(duì)列，從而可能導(dǎo)致拒絕服務(wù)攻擊。

升級(jí)Kubernetes集群

如開頭所述，Kubernetes已經(jīng)發(fā)布了補(bǔ)丁來堵住漏洞，建議所有管理員盡快升級(jí)到補(bǔ)丁版本。

開發(fā)團(tuán)隊(duì)已發(fā)布了使用新版本和修補(bǔ)版Go構(gòu)建的以下Kubernetes版本，以幫助管理員應(yīng)對(duì)漏洞：

• Kubernetes v1.15.3 - go1.12.9
• Kubernetes v1.14.6 - go1.12.9
• Kubernetes v1.13.10 - go1.11.13

Kubernetes管理員可使用Kubernetes集群管理頁面(https://kubernetes.io/docs/tasks/administer-cluster/cluster-management/#upgrading-a-cluster)上適用于所有平臺(tái)的升級(jí)說明來升級(jí)集群。

原文標(biāo)題：Severe Flaws in Kubernetes Expose All Servers to DoS Attacks，作者：Sergiu Gatlan

【51CTO譯稿，合作站點(diǎn)轉(zhuǎn)載請(qǐng)注明原文譯者和出處為51CTO.com】