K8S 生态周报| 几乎影响所有 k8s 集群的漏洞

最新推荐文章于 2023-06-12 17:33:17 发布

张晋涛-MoeLove

最新推荐文章于 2023-06-12 17:33:17 发布

阅读量434

点赞数 1

本文链接：https://blog.csdn.net/tao12345666333/article/details/106866683

版权

本文介绍了Docker v19.03.11的安全修复，该修复针对IPv6路由地址广播漏洞CVE-2020-13401，防止地址欺骗。同时讨论了Kubernetes中CNI插件的漏洞CVE-2020-10749，影响多个版本的kubelet。建议更新组件至最新版本，禁用不必要的RA消息接收和CAP_NET_RAW能力，以增强集群安全性。此外，提到了Docker Compose v1.26.0的新特性，以及Kube-OVN v1.2的高性能改进。

摘要由CSDN通过智能技术生成

「K8S 生态周报」内容主要包含我所接触到的 K8S 生态相关的每周值得推荐的一些信息。欢迎订阅知乎专栏「k8s 生态」 ( https://zhuanlan.zhihu.com/container )。

Docker v19.03.11 发布

距离 v19.03.10 发布仅一周时间，Docker 又发布了新版本 v19.03.11 。此版本是一个安全修复版本，通过禁用了 IPv6 路由地址广播（RA）从而防止地址欺骗，对应的漏洞为 CVE-2020-13401 ( https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-13401 ) 。

在 Docker 的默认配置中，容器网络接口是指向主机（veth 接口）的虚拟以太网链接，在此配置下，如果一个攻击者可以在容器中以 root 身份运行进程的话，那么他是可以使用 CAP_NET_RAW 能力，向主机任意发送和接收数据包的。

例如：在容器内使用 root 用户，可以正常执行 ping 命令

(MoeLove) ➜  ~ docker run --rm -it -u root redis:alpine sh
/data # whoami
root
/data # ping -c 1 moelove.info
PING moelove.info (185.199.108.153): 56 data bytes
64 bytes from 185.199.108.153: seq=0 ttl=49 time=54.389 ms


--- moelove.info ping statistics ---
1 packets transmitted, 1 packets received, 0% packet loss
round-trip min/avg/max = 54.389/54.389/54.389 ms

在容器内使用非 root 用户，执行 ping 命令会提示无权限

(MoeLove) ➜  ~ docker run --rm -it -u redis redis:alpine sh
/data # whoami
redis
/data $ ping -c 1 moelove.info
PING moelove.info (185.199.109.153): 56 data bytes
ping: perm