写点什么

K8s 漏洞报告|Kubernetes v1.15.4 Bug Fix 数据分析

  • 2019-11-20
  • 本文字数:805 字

    阅读完需:约 3 分钟

K8s漏洞报告|Kubernetes v1.15.4 Bug Fix数据分析

CVE-2019-11251 安全漏洞


近期 Kubernetes 社区通过 Google Group 频道 kubernetes-security-announce 发布了与 kubectl 相关的安全漏洞 CVE-2019-11251。


具体的问题出现在 kubectl cp 命令,cp 命令允许两个符号链接的组合,将文件复制到外部的目标目录。这可能会被攻击者使用符号链接将网络文件放置在外部目标目录中。


此问题的影响范围涵盖了如下 Kubernetes Client 版本:


  1. Kubernetes v1.13.10

  2. Kubernetes v1.14.6

  3. Kubernetes v1.15.3


用户可以根据 kubectl version –client 命令获取生产集群中的 Kubernetes Client 版本,来判断是否会遭受此类攻击。这个漏洞已经在最新的版本中修复,修复的版本和 Pull Request 信息如下:



通过如下的操作指南可以升级生产集群中的 Kubernetes Client 版本修复此问题

CVE-2019-16276 安全漏洞


10 月 8 日,Kubernetes 社区通过 Google Group 频道 kubernetes-security-announce 再次发布了与 Go 语言 net/http 相关的安全漏洞 CVE-2019-16276。


这个漏洞导致无效的 http 请求头可能被 go http 服务器例如 Kubernetes APIServer 解析为有效。如果 go http 服务器前端的反向代理例如 Nginx 允许并转发无效的 http 请求头,go http 服务器则可以用与反向代理不同的方式解析这些无效请求头。例如你正在 Kubernetes APIServer 前端使用 Nginx 作为身份验证代理,则会有一组头信息通过 Nginx 传递到 APIServer,例如 x-remote-user、x-remote-groups 等,攻击者可以模拟这些头信息进行身份验证。


Kubernetes 发布团队正在 v1.14、v1.15 和 v1.16 版本构建解决此问题的补丁。具体请查看邮件链接

Kubernetes v1.15.4 Bug Fix 数据分析

Kubernetes v1.15.4 Bug 数量共计 30 个,分类数量和占比统计如下:



严重程度数量统计如下(横坐标 5 为最高,0 为最低):



如下为 Kubernetes v1.15.4 Bug Fix 的汇总信息:




添加小助手微信,加入【容器魔方】技术社群。



2019-11-20 19:011224

评论

发布
暂无评论
发现更多内容

卡片导航组件|纯血鸿蒙组件库AUI

华哥的全栈次元舱

鸿蒙 鸿蒙开发 鸿蒙操作系统 纯血鸿蒙 鸿蒙组件库AUI

AI 指令编写全攻略:从基础到高级的实用技巧

飞算JavaAI开发助手

AI 技巧分享

After Effects 2022(AE 2022)中文直装版-Mac/win

Rose

IDEA+AI 深度融合:重构高效开发的未来模式

飞算JavaAI开发助手

IDEA #java 技巧分享

设备维修,掌握“一巡、二看、三动手”,轻松解决设备故障

积木链小链

数字化 设备管理 生产管理 设备维修

CAD中图纸上测量的尺寸与实际不符是怎么回事?

在路上

cad cad看图 cad软件

Transforms预处理

测试人

人工智能

Illustrator 2022(ai2022)和其他版本有什么不同?

Rose

HyperWorks基础培训教程:批处理网格划分

智造软件

Hypermesh hyperworks CAE仿真

新时代的可观测性:拥抱 GuanceDB 3.0

观测云

数据库

K8s进阶之外部访问Pod的几种方式

电子尖叫食人鱼

容器 云原生

如何快速上手使用AutoCAD 2024?附cad2024安装包

Rose

犀牛Rhinoceros 7与其他建模软件相比有什么优势?

Rose

StarRocks+Paimon落地阿里日志采集:万亿级实时数据秒级查询

阿里云大数据AI技术

人工智能 数据分析 StarRocks paimon #大数据

【HarmonyOS 开发】虚拟机无法访问本地服务 Couldn‘t connect to server

Geek_4a16a4

鸿蒙 开发工具 HarmonyOS HarmonyOS NEXT 实践分享

确保高质量的音视频通话,如何最大化利用视频带宽

腾讯云音视频

实时音视频

从“无效提问”到精准指令:测试工程师的AI高效沟通指南

测试人

人工智能

SpringBoot3 使用 SolonMCP 开发 MCP

不在线第一只蜗牛

Spring Boot

区块链 Web3 项目的技术架构

北京木奇移动技术有限公司

区块链技术 软件外包公司 web3开发

工业全坚固三防笔记本电脑——FZ-40

极客天地

「哔哩哔哩」正式加入 Karmada 用户组!携手社区共建多集群生态

华为云原生团队

云计算 容器 云原生

什么是网站IPv6支持度?怎么检测?

国科云

通过利益相关者管理提升财务规划的发展可持续性

智达方通

企业管理 财务管理 财务规划

用 CodeBuddy 打造一张属于她的 520 刮刮乐,程序员的浪漫可以这么强大!

不惑

CodeBuddy首席试玩官

用 CodeBuddy Craft 感受真正的 Vibe Coding

不惑

CodeBuddy首席试玩官

CAD看图王三维功能升级能解决哪些问题?

在路上

cad

AI 代码生成陷阱解析,如何识别与规避错误代码

飞算JavaAI开发助手

AI 代码质量

告别无效对话:优化 AI 交互的必备策略

飞算JavaAI开发助手

Java AI 交互 技巧分享

AI技术在英语学习中的应用

北京木奇移动技术有限公司

AI教育 软件外包公司 AI英语学习

AI赋能零售智能配置:精准匹配产品、场景与时机

第七在线

需求频繁变更?AI 驱动的自动化解决方案实践

飞算JavaAI开发助手

K8s漏洞报告|Kubernetes v1.15.4 Bug Fix数据分析_软件工程_华为云原生团队_InfoQ精选文章