Kubernetes 权限提升误差清静通告

宣布时间 2018-12-06

误差编号和级别


CVE编号：CVE-2018-1002105，，，，， ，危险级别：严重，，，，， ，CVSS分值：厂商自评 9.8，，，，， ，官方未评定


影响版本


Kubernetes < v1.0.x-1.9.x

Kubernetes < v1.10.0-1.10.10 (fixed in v1.10.11)

Kubernetes < v1.11.0-1.11.4 (fixed in v1.11.5)

Kubernetes < v1.12.0-1.12.2 (fixed in v1.12.3)

以及其他所有基于 Kubernetes 的产品、效劳等（如 OpenShift）。。。。。


误差概述


12月3日，，，，， ，redhat 官方宣布清静通告，，，，， ，指出 Kubernetes （K8s）保存一个严重的权限提升误差（CVE-2018-1002105），，，，， ，所有基于 Kubernetes 的效劳和产品，，，，， ，包括 redhat OpenShift Container Platform，，，，， ，Red Hat OpenShift Online 和 Red Hat OpenShift Dedicated 都受到了影响。。。。。


Kubernetes（常简称为 K8s）是用于自动安排、扩展和治理容器化应用程序的开源系统。。。。。它旨在提供“跨主机集群的自动安排、扩展以及运行应用程序容器的平台”。。。。。它支持一系列容器工具, 包括Docker等。。。。。


OpenShift 是由 redhat 推出的 PaaS 云盘算平台，，，，， ，供用户建设网络应用（App、网站）。。。。。Openshift 底层以 Docker 作为容器引擎驱动，，，，， ，以 Kubernetes 作为容器编排引擎组件。。。。。


任何能够通过 Kubernetes API server 与后端效劳器建设毗连的用户，，，，， ，可以在坚持毗连一直开的基础上，，，，， ，进一步使用 Kubernetes API server 已经授权的 TLS 凭证，，，，， ，发送被授权的恣意请求，，，，， ，从而造成权限提升甚至更大的危害。。。。。攻击者只要包管该聚合 API 效劳器在 Kubernetes API server 的网络中被允许即可。。。。。而在默认情形下，，，，， ，所有的用户都可以在没有限制的情形下完成以上攻击。。。。。


任何拥有 pod exec/attach/portforward 权限的通俗用户，，，，， ，可以获得运行在目今 pod 中恣意盘算节点的集群治理员权限，，，，， ，从而能够会见所有隐私数据、在这些 pod 中执行下令等。。。。。


该误差由 Rancher Labs 的首席架构师兼联合首创人 Darren Shepherd 发明。。。。。误差严重水平被界说为 9.8 ，，，，， ，属于很是严重的误差（满分为 10）。。。。。


缘故原由如下：

未授权的会见请求不会泛起在 Kubernetes API 效劳器的审计日志或效劳器日志当中，，，，， ，只在 kublet 或 聚合 API 效劳器日志中可见。。。。。而在聚合 API 效劳器中，，，，， ，很难把这些未授权的会见请求和正常的会见请求区脱离来。。。。。


误差验证


暂无POC/EXP。。。。。


修复建议


连忙更新 Kubernetes 至 v1.10.11、v1.11.5，，，，， ，v1.12.3 和 v1.13.0-rc.1 的恣意一个版本。。。。。


参考链接


https://access.redhat.com/security/cve/cve-2018-1002105

https://access.redhat.com/security/vulnerabilities/3716411

https://github.com/kubernetes/kubernetes/issues/71411