Kubernetes更新補丁 修復重要許可權升級缺陷
Kubernetes開源系統中用於處理容器化應用程式的一個關鍵漏洞可以使攻擊者獲得Kubernetes計算節點的完全管理員許可權。
Kubernetes通過將應用程式容器組織到pod，節點（物理或虛擬機器）和叢集中，可以更輕鬆地管理容器環境。 多個節點形成一個叢集，由主伺服器管理，協調與叢集相關的活動，如擴充套件，排程或更新應用程式。
每個節點都有一個名為Kubelet的代理，可以通過API促進與Kubernetes主站的通訊。 Kubernetes系統中可用的節點數量可能是數百甚至數千。
使這個安全問題非常關鍵的是大多數Kubernetes系統可以包含數千個節點，用於管理各種應用程式的容器環境。
“在預設配置中，允許所有使用者（經過身份驗證和未經身份驗證的使用者）執行允許此升級的發現API呼叫，”Jordan Liggitt在致Kubernetes GitHub儲存庫的原始問題中說。
此外，還可以通過升級pod exec/attach/portforward API呼叫來利用該漏洞，以便能夠針對pod規範中定義的節點針對kubelet API執行任何API請求。
一旦潛在的攻擊者獲得對Kubernetes服務目錄的叢集管理員級別訪問許可權，他們就可以輕鬆地在任何節點和任何名稱空間中建立代理服務，從而允許簡單部署惡意程式碼或更改任何現有服務。
CVE-2018-1002105安全影響評分為9.8分
此外，“所有基於Kubernetes的服務和產品都受到影響”，據Red Hat稱，“許可權升級漏洞使任何使用者都可以獲得在Kubernetes叢集中執行的任何計算節點的完全管理員許可權。”
特權升級漏洞的安全影響評分為Critical，CVSS3基本評分為9.8，最高為10，並且被標記為CVE-2018-1002105。
Kubernetes v1.10.11，v1.11.5，v1.12.3和v1.13.0-rc.1已作為關鍵CVE-2018-1002105安全問題的修復程式釋出，這使得所有以前的Kubernetes API Server版本都容易被利用。