关于Kubernetes Dashboard漏洞CVE-2018-18264的修复公告

阿里云容器服务Kubernetes 已修复Dashboard漏洞CVE-2018-18264，本文介绍该漏洞的影响版本及解决方法。阿里云容器服务Kubernetes内建的Kubernetes Dashboard是托管形态且已进行过安全增强，不受此漏洞影响。

背景信息

Kubernetes社区发现Kubernetes Dashboard安全漏洞CVE-2018-18264：使用Kubernetes Dashboard v1.10及以前的版本有跳过用户身份认证，及使用Dashboard登录账号读取集群秘钥信息的风险 。

阿里云容器服务Kubernetes内建的Kubernetes Dashboard是托管形态且已进行过安全增强，不受此漏洞影响。

安全漏洞 CVE-2018-18264的详细信息，请参考：
https://github.com/kubernetes/dashboard/pull/3289
https://github.com/kubernetes/dashboard/pull/3400
https://github.com/kubernetes/dashboard/releases/tag/v1.10.1

影响版本

如果您的Kubernetes集群中独立部署了Kubernetes Dashboard v1.10及之前版本（v1.7.0-v1.10.0），同时支持登录功能且使用了自定义证书。

解决方法

• 如果您不需要独立部署的Dashboard，请执行以下命令，将Kubernetes Dashboard从集群中删除。

kubectl --namespace kube-system delete deployment kubernetes-dashboard

• 如果您需要独立部署的Dashboard，请将Dashboard升级到v1.10.1版本，请参考https://github.com/kubernetes/dashboard/releases/tag/v1.10.1
• 如果您使用阿里云容器服务Kubernetes版本托管的Dashboard，由于阿里云容器服务Kubernetes版本对此进行过安全增强，不受此漏洞影响，您仍可以直接在容器服务管理控制台上使用Dashboard