Kubernetes用户权限提升漏洞所暴露的安全隐患

访客4年前关于黑客接单779

近日,Kubernetes的开源容器软件中发现了一个关键的用户权限提升漏洞(CVE-2018-1002105),该软件是当今大部分云基础架构的固定组件。此漏洞可以让攻击者不受限远程访问,窃取数据或致使生产应用程序崩溃。
此漏洞CVSS评分为9.8,也是Kubernetes首次被发现的重大漏洞。黑客可以通过发送特殊处理过的请求,建立Kubernetes API服务器与访问聚合API服务器的连接。一旦连接建立,就不再需要检查发送给聚合API服务器的任何请求,意味着可以提升权限对任何聚合API服务器端点进行API调用,以及对该聚合API服务器执行任何API请求(例如Pod的创建以及执行任意命令并获得返回结果)。 在默认配置中,允许所有用户(经过身份验证和未经身份验证的用户)执行允许此权限提升的API调用。
在实际生产应用中,Kubernetes属于大型框架服务, 影响面会比较广泛,这个问题尤其令人担忧。Kubernetes采用的是Linux容器编排(container orchestration)的事实标准(de facto standard),它使在云中编排容器化的应用程序成为可能,支持由数百甚至数千个“简单”服务组成的组合服务。与传统应用程序相比,这些经过编排的应用程序通常更灵活,更易管理和维护。但是,这种架构也意味着恶意访问一个有漏洞的API服务器时,其所有子服务都是开放的。因此,攻击者可以深入访问云基础架构执行恶意操作,包括数据盗窃、安装恶意软件、间谍和侦察、或更改workloads以进行破坏。
Sumo Logic 公司的CSO George Gerchow表示:
Kubernetes此项漏洞所带来的影响会留有深患。Kubernetes的优势在于它的基本速度、编排、自动化和规模。当出现安全问题时,由于攻击易于扩散,这些特性都会轻易遭到损害。
Kubernetes已发布解决该漏洞的更新(v1.10.11,v1.11.5和v1.12.3);个人发行版需要自行更新。Red Hat已升级其OpenShift容器平台(此处已修补版本);用户可以访问Debian和SUSE发行版的安全跟踪器页面,以获取有关Kubernetes补丁程序的最新信息。
对于大多数组织机构来说,容器安全才刚刚开始出现在视野里。大多数拥有此类部署的企业组织无法为保护云原生应用做好充分准备。例如,在StackRox最近的一项调查中,超过三分之一的机构担心他们的安全策略不能充分解决容器安全问题;另有15%的人认为他们的战略中没有对容器安全的威胁起到足够重视,尤其是对Kubernetes的部署。
Gerchow指出:
众所周知,新兴技术永远将安全性视为事后考虑因素,所以安全行业的专业人士都希望容器缺陷能尽早暴露。从更长远的角度来看,这是开发团队和安全团队需要进行更好协作的另一个佐证——如何通过DevSecOps在维护敏捷性的同时建立防御和更佳实践。总的来说,大多数组织在对其容器、CI/CD管道的安全性和配置上都显得相当短视。
Gerchow补充说,
考虑到当今企业IT基础设施中API的普遍性,保护它们应是重中之重。API使得商业互通更为顺畅,我们预计在未来API会持续爆炸式增长——尤其在现代响应式应用程序,移动应用程序和B2B应用中。即使API存在新的风险,未被以前的应用程序涵盖到,但是应用程序安全性几乎是通用的,保护API应该是每个使用API的组织的重点。
API问题最近频繁出现在新闻头条,比如不久前美国邮政总局和亚马逊网站出现漏洞,两者都是API的不当使用造成的问题。

相关文章

《以爱之名》凌霄贺子秋为什么要出国 凌霄贺子秋在第几集出国了

《以家人之名》三个孩沒有亲属关系的小孩一起长大、子秋和灵霄被爸爸妈妈抛下以后一直跟随李尖长的父亲日常生活在一起。长大以后她们两的爸爸妈妈找上门了,预告片也是灵霄和子秋离开。《以爱之名》灵霄贺子秋为何要...

黑客帝国3在线观看高清完整版(黑客帝国3在线观看网站)

黑客帝国3在线观看高清完整版(黑客帝国3在线观看网站)

本文导读目录: 1、黑客帝国3:矩阵革命高清完整版下载 2、求黑客帝国3高清国语版 大家记住关键词 高清、国语。 3、黑客帝国3:矩阵革命高清完整版电影 4、请问哪里可以看黑客帝国的三部完...

免费黑客帮忙找回微信密码(怎么找黑客帮忙)

微信聊天记录怎么恢复?在我们日常使用微信的过程中,难免会有不小心误删重要的聊天记录的情况,但很多小伙伴对于微信。 您好如申诉失败可以拿回执,联系电话客服为你验证更多的资料,协助你找回。如微信个人帐号...

网络黑客在线咨免费定位别人手机位置 不需同意询 / 私家侦探诺言接

大伙儿一般感觉,把握了难点的关键,其他一切则会获得处理。那么,既然如何,史美斯玻尔之前说过,书籍把大伙儿导进最优美的社会经济发展,使大伙儿掌握每一个阶段的优秀聪明的人。我认为禁令我思考。从这一角度来看...

《正青春》热播进行时 吴谨言殷桃持续探索职场

由北京世纪东耀文化传媒有限公司、厦门乐道互娱文化传媒有限公司、腾讯影业文化传播有限公司、北京优视联盟影业有限公司出品,北京泰祥文化传媒有限公司联合出品,牟晓杰执导,陈岚编剧,吴谨言、殷桃领衔主演,何润...

幼儿园班务工作计划(2021幼儿园班级工作计划)

幼儿园班务工作计划(2021幼儿园班级工作计划) 来一份班级工作计划,很规范,收藏吧,帮助刘老师转发 中班班级计划   一、班级情况分析   暑假转眼即逝,我们迎来了新学期,进入中班后,班级人...