近日,Kubernetes的开源容器软件中发现了一个关键的用户权限提升漏洞(CVE-2018-1002105),该软件是当今大部分云基础架构的固定组件。此漏洞可以让攻击者不受限远程访问,窃取数据或致使生产应用程序崩溃。
此漏洞CVSS评分为9.8,也是Kubernetes首次被发现的重大漏洞。黑客可以通过发送特殊处理过的请求,建立Kubernetes API服务器与访问聚合API服务器的连接。一旦连接建立,就不再需要检查发送给聚合API服务器的任何请求,意味着可以提升权限对任何聚合API服务器端点进行API调用,以及对该聚合API服务器执行任何API请求(例如Pod的创建以及执行任意命令并获得返回结果)。 在默认配置中,允许所有用户(经过身份验证和未经身份验证的用户)执行允许此权限提升的API调用。
在实际生产应用中,Kubernetes属于大型框架服务, 影响面会比较广泛,这个问题尤其令人担忧。Kubernetes采用的是Linux容器编排(container orchestration)的事实标准(de facto standard),它使在云中编排容器化的应用程序成为可能,支持由数百甚至数千个“简单”服务组成的组合服务。与传统应用程序相比,这些经过编排的应用程序通常更灵活,更易管理和维护。但是,这种架构也意味着恶意访问一个有漏洞的API服务器时,其所有子服务都是开放的。因此,攻击者可以深入访问云基础架构执行恶意操作,包括数据盗窃、安装恶意软件、间谍和侦察、或更改workloads以进行破坏。
Sumo Logic 公司的CSO George Gerchow表示:
Kubernetes此项漏洞所带来的影响会留有深患。Kubernetes的优势在于它的基本速度、编排、自动化和规模。当出现安全问题时,由于攻击易于扩散,这些特性都会轻易遭到损害。
Kubernetes已发布解决该漏洞的更新(v1.10.11,v1.11.5和v1.12.3);个人发行版需要自行更新。Red Hat已升级其OpenShift容器平台(此处已修补版本);用户可以访问Debian和SUSE发行版的安全跟踪器页面,以获取有关Kubernetes补丁程序的最新信息。
对于大多数组织机构来说,容器安全才刚刚开始出现在视野里。大多数拥有此类部署的企业组织无法为保护云原生应用做好充分准备。例如,在StackRox最近的一项调查中,超过三分之一的机构担心他们的安全策略不能充分解决容器安全问题;另有15%的人认为他们的战略中没有对容器安全的威胁起到足够重视,尤其是对Kubernetes的部署。
Gerchow指出:
众所周知,新兴技术永远将安全性视为事后考虑因素,所以安全行业的专业人士都希望容器缺陷能尽早暴露。从更长远的角度来看,这是开发团队和安全团队需要进行更好协作的另一个佐证——如何通过DevSecOps在维护敏捷性的同时建立防御和更佳实践。总的来说,大多数组织在对其容器、CI/CD管道的安全性和配置上都显得相当短视。
Gerchow补充说,
考虑到当今企业IT基础设施中API的普遍性,保护它们应是重中之重。API使得商业互通更为顺畅,我们预计在未来API会持续爆炸式增长——尤其在现代响应式应用程序,移动应用程序和B2B应用中。即使API存在新的风险,未被以前的应用程序涵盖到,但是应用程序安全性几乎是通用的,保护API应该是每个使用API的组织的重点。
API问题最近频繁出现在新闻头条,比如不久前美国邮政总局和亚马逊网站出现漏洞,两者都是API的不当使用造成的问题。
在做任何工作的时候,我们都应该透过现象看本质,尤其在事情中对我们辅佐很大。本文作者基于自身的事情履历,对社交电商的本质展开阐明,但愿对你有辅佐。 我们做任何工作都应该多拷问一下本质问题,因为只有把本...
断念剑是上古六界的神器。断念是白子画的师傅送给白子画的,后来白子画又送给了小骨,是白子画师父衍道送白子画的,后来又送给了小骨!而这把断念剑是非常。 画鸡蛋难,画鬼容易。画鸡蛋难就难在,鸡蛋是有实物的,...
需求是可以拉到市场的。那开办一家老年服饰店是个不错的选择,在创业盈利的同时解决老年人买衣难的问题,可以拥有不错的发展前景。 其次是可以考虑种植方面,因为地方大,而且这样也可以把资源更好的利用起来...
每年都会有所报道,就是一些明星或者是一些知名人士,他们的学历都是造假的,那么当然他们会找一些靠谱的人来帮助他们改学历,改成绩。那么这样的靠谱人士应该去哪里找呢?1.靠谱的改成绩的黑客去哪儿找呢?如果想...
中新社纽约2月1日电 (记者 王帆)受冬季风暴影响,美国纽约市1日迎来强降雪。当天午后,中央公园监测到的降雪量超过13英寸。 美国全国广播公司(NBC)报道,近日,一股强劲的“东北风暴”(N...
单身汉节的意思意味着着单身,自然如今也是有许多年青人为了更好地告别单身在单身节这一天告白或是浪漫求婚,有十分尤其的实际意义。下边是:单身节结婚纪念日说说2019 单身节结婚祝福语语句。宝宝网产生有关...