AI实践哪家强?来 AICon, 解锁技术前沿,探寻产业新机! 了解详情
写点什么

K8s 漏洞报告|Kubernetes v1.15.4 Bug Fix 数据分析

  • 2019-11-20
  • 本文字数:805 字

    阅读完需:约 3 分钟

K8s漏洞报告|Kubernetes v1.15.4 Bug Fix数据分析

CVE-2019-11251 安全漏洞


近期 Kubernetes 社区通过 Google Group 频道 kubernetes-security-announce 发布了与 kubectl 相关的安全漏洞 CVE-2019-11251。


具体的问题出现在 kubectl cp 命令,cp 命令允许两个符号链接的组合,将文件复制到外部的目标目录。这可能会被攻击者使用符号链接将网络文件放置在外部目标目录中。


此问题的影响范围涵盖了如下 Kubernetes Client 版本:


  1. Kubernetes v1.13.10

  2. Kubernetes v1.14.6

  3. Kubernetes v1.15.3


用户可以根据 kubectl version –client 命令获取生产集群中的 Kubernetes Client 版本,来判断是否会遭受此类攻击。这个漏洞已经在最新的版本中修复,修复的版本和 Pull Request 信息如下:



通过如下的操作指南可以升级生产集群中的 Kubernetes Client 版本修复此问题

CVE-2019-16276 安全漏洞


10 月 8 日,Kubernetes 社区通过 Google Group 频道 kubernetes-security-announce 再次发布了与 Go 语言 net/http 相关的安全漏洞 CVE-2019-16276。


这个漏洞导致无效的 http 请求头可能被 go http 服务器例如 Kubernetes APIServer 解析为有效。如果 go http 服务器前端的反向代理例如 Nginx 允许并转发无效的 http 请求头,go http 服务器则可以用与反向代理不同的方式解析这些无效请求头。例如你正在 Kubernetes APIServer 前端使用 Nginx 作为身份验证代理,则会有一组头信息通过 Nginx 传递到 APIServer,例如 x-remote-user、x-remote-groups 等,攻击者可以模拟这些头信息进行身份验证。


Kubernetes 发布团队正在 v1.14、v1.15 和 v1.16 版本构建解决此问题的补丁。具体请查看邮件链接

Kubernetes v1.15.4 Bug Fix 数据分析

Kubernetes v1.15.4 Bug 数量共计 30 个,分类数量和占比统计如下:



严重程度数量统计如下(横坐标 5 为最高,0 为最低):



如下为 Kubernetes v1.15.4 Bug Fix 的汇总信息:




添加小助手微信,加入【容器魔方】技术社群。



2019-11-20 19:011236

评论

发布
暂无评论
发现更多内容

整理的三重境界

Ian哥

28天写作 超级整理术 整理 整理的三重境界

老生常谈--什么是装箱什么是拆箱

喵叔

28天写作 12月日更

88邮箱-从入职到离职

D

推开GraphQL大门

梁龙先森

签约计划第二季

面向 JavaScript 开发人员的 5 大物联网库

devpoint

JavaScript 元宇宙 12月日更 meta

一生挚友redo log、binlog《死磕MySQL系列 二》

咔咔

MySQL Binlog Redo Log

当我们在谈‘数据标准’的时候,我们到底在谈什么?

圣迪

数据 主数据 数据标准 参考数据

业务代码如何才能不再写出大串的if/else?

JavaEdge

12月日更

Prometheus Exporter (二十)Lustre Exporter

耳东@Erdong

Prometheus 28天写作 exporter 12月日更 Lustre

架构实战营模块1课后作业

swallowluo

架构实战营

Flutter开发:项目加载本地html文件的步骤

三掌柜

28天写作 21天挑战 12月日更 12月

Flutter中如何添加垂直分隔线【Flutter 专题 18】

坚果

flutter 28天写作 12月日更

程序员有哪些提升幸福感的专属神器?

Jackpop

终于玩明白Golang数据可视化了!

Jackpop

学习宫本茂的创意

Justin

方法论 创意 28天写作

团队基建系列 - 组织知识传承 2

搬砖的周狮傅

团队协作 团队成长

python scrapy 管道学习,并拿在行练手爬虫项目

梦想橡皮擦

12月日更

聊聊 Kafka: Kafka 为啥这么快?

老周聊架构

签约计划第二季

如何选择普通索引和唯一索引《死磕MySQL系列 五》

咔咔

MySQL 唯一索引 普通索引

S 锁与 X 锁的爱恨情仇《死磕MySQL系列 四》

咔咔

MySQL 共享锁 排它锁

单例模式

卢卡多多

28天写作

37 K8S之容器网络模型

穿过生命散发芬芳

k8s 28天写作 12月日更

程序员的“双十二”大礼包,上海拆箱啦!

百度大脑

人工智能

初识架构设计

皓月

架构实战营 #架构实战营 「架构实战营」

[Pulsar] 订阅跳过一定数量消息的原理

Zike Yang

Apache Pulsar 12月日更

MySQL强人“锁”难《死磕MySQL系列 三》

咔咔

MySQL

[vue3组件库]0到1参与7k Star大型开源项目成为贡献者🎃

速冻鱼

开源 大前端 签约计划第二季 12月日更

2021创作者签约计划-文章合集

卢卡多多

内容合集 签约计划第二季

图解栈帧,别再死记硬背

李子捌

Java 28天写作 12月日更

HOW

Nydia

【LeetCode】电话号码的字母组合Java题解

Albert

算法 LeetCode 12月日更

K8s漏洞报告|Kubernetes v1.15.4 Bug Fix数据分析_软件工程_华为云原生团队_InfoQ精选文章