Kubernetes 权限提升缝隙安全公告

颁布功夫 2018-12-06

缝隙编号和级别


CVE编号：CVE-2018-1002105，危险级别：严重，CVSS分值：厂商自评 9.8，官方未评定


影响版本


Kubernetes < v1.0.x-1.9.x

Kubernetes < v1.10.0-1.10.10 (fixed in v1.10.11)

Kubernetes < v1.11.0-1.11.4 (fixed in v1.11.5)

Kubernetes < v1.12.0-1.12.2 (fixed in v1.12.3)

以及其他所有基于 Kubernetes 的产品、、服务等（如 OpenShift）。


缝隙概述


12月3日，redhat 官方颁布安全公告，指出 Kubernetes （K8s）存在一个严重的权限提升缝隙（CVE-2018-1002105），所有基于 Kubernetes 的服务和产品，蕴含 redhat OpenShift Container Platform，Red Hat OpenShift Online 和 Red Hat OpenShift Dedicated 都受到了影响。


Kubernetes（常简称为 K8s）是用于自动部署、、扩大和治理容器化利用法式的开源系统。它旨在提供“跨主机集群的自动部署、、扩大以及运行利用法式容器的平台”。它支持一系列容器工具, 蕴含Docker等。


OpenShift 是由 redhat 推出的 PaaS 云推算平台，供用户创建网络利用（App、、网站）。Openshift 底层以 Docker 作为容器引擎驱动，以 Kubernetes 作为容器编排引擎组件。


任何可能通过 Kubernetes API server 与后端服务器成立衔接的用户，能够在维持衔接不休开的基础上，进一步利用 Kubernetes API server 已经授权的 TLS 凭证，发送被授权的肆意要求，从而造成权限提升甚至更大的�：�。攻击者只有保障该聚合 API 服务器在 Kubernetes API server 的网络中被允许即可。而在默认情况下，所有的用户都能够在没有限度的情况下实现以上攻击。


任何占有 pod exec/attach/portforward 权限的通常用户，能够获得运行在当前 pod 中肆意推算节点的集群治理员权限，从而可能接见所有隐衷数据、、在这些 pod 中执行号令等。


该缝隙由 Rancher Labs 的首席架构师兼结合首创人 Darren Shepherd 发现。缝隙严重水平被界说为 9.8 ，属于极度严重的缝隙（满分为 10）。


原因如下：

未授权的接见要求不会呈此刻 Kubernetes API 服务器的审计日志或服务器日志傍边，只在 kublet 或 聚合 API 服务器日志中可见。而在聚合 API 服务器中，很难把这些未授权的接见要求和正常的接见要求分辨隔来。


缝隙验证


暂无POC/EXP。


修复建议


立即更新 Kubernetes 至 v1.10.11、、v1.11.5，v1.12.3 和 v1.13.0-rc.1 的肆意一个版本。


参考链接


https://access.redhat.com/security/cve/cve-2018-1002105

https://access.redhat.com/security/vulnerabilities/3716411

https://github.com/kubernetes/kubernetes/issues/71411