可成为超级用户root？
时间：2022-03-21 20:06:02 | 来源：行业动态
时间：2022-03-21 20:06:02 来源：行业动态
还有更糟糕的，在默认配置中，所有的用户（经过身份验证和未经身份验证的用户）均可以调用发现API进行权限升级。因此，任何知道这个漏洞的人都可以掌控你的Kubernetes集群。
还有最痛苦的事情，目前尚无简单的方法可以检测容器的漏洞是否被有心人用过。由于未经授权的请求是通过已建立的连接进行的，因此这些请求不会出现在Kubernetes API服务器审核日志或服务器日志里。这些请求确会出现在kubelet或聚合API服务器日志里，但却无法区分正确授权请求和经Kubernetes API服务器代理的请求。
Red Hat]（https://www.redhat.com/en）的另一种说法如下，该权限升级漏洞令使用任何计算节点的用户可以在Kubernetes pod上获得绝对管理员权限。 是个很大的问题。（https://www.redhat.com/en/blog/kubernetes-privilege-escalation-flaw- innovation-still-needs-it-security-expertise）有心人不仅可以窃取敏感信息数据或注入恶意代码，他们还可以从组织的防火墙内关掉生产应用程序和服务。
幸运的是倒是有个修复办法，但有些人不会喜欢这个修复办法。办法就是升级Kubernetes。更具体地说，升级到补丁版Kubernetes v1.10.11（https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG-1.10.md/#v11011）、v1.11.5（https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG-1.11.md/#v1115）、v1.12.3（https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG-1.12.md/ ＃v1123）及v1.13.0-rc.1（https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG-1.13.md/#v1130-rc1）。
如果读者仍在使用Kubernetes v1.0.x-1.9.x，请即刻停用。立即更新到上面的补丁版本。如果由于某种原因不能升级，也有救治方法，但这些救治方法几乎比病源更糟糕。方法就是必须暂停使用聚合API服务器，并删除那些不应该拥有kubelet API完全访问权限用户的pod exec/attach/portforward权限。修复该漏洞的谷歌软件工程师Jordan Liggitt表示，这些缓解措施可能会导致系统的中断。读者觉得会吗？
在线咨询
