Kubernetes 命令行存在新的漏洞

作者:???深圳市网安计算机安全检测技术有限公司 2019/06/26 10:31:32 105次阅读 国际
文章来源:https://www.oschina.net/news/107749/kubernetes-command-line-exist-vulnerability

3b373c8457b80980d87b15c28edadedb.png

????????根据?TECHERATI?网站报道,Atredis Partners 公司的安全研究人员 Charles Holmes 在 Kubernetes 中发现了一个新的漏洞,如果利用该漏洞,攻击者可以将恶意容器放置到用户工作站上。?该漏洞影响 Kubernetes 的 kubectl 命令行工具,而这个工具是让用户在容器和用户机器之间复制文件。

????????容器调度器 Kubernetes 在确立为多云部署之后,就大受开发人员的喜爱,根据 JetBrains 的报告,29% 的开发人员现在使用 Kubernetes。所以漏洞的出现会引起很多人关注。

????????Kubernetes ProductSecurity Committee (Kubernetes 产品安全委员会)的代表人 Joel Smith ,将该漏洞与 CVE-2019-1002101 漏洞联系在一起,CVE-2019-1002101 是在今年3月发现的漏洞,也使攻击者能够通过 kubectl 嵌入恶意容器,而最初解决这个问题并不完整。

????????Joel Smith?说,攻击者可以将恶意代码嵌入容器的 tar 二进制文件中,这可能允让他们在调用 kubectl 时将文件写入用户计算机上的任何路径,不过,最新的漏洞可以通过将 kubectl 升级到 1.12.9、1.13.6 和 1.14.2 或更高版本来修复。

相关链接

指导单位
广东省公安厅网络警察总队 广东省信息安全等级保护协调小组办公室