Kubernetes 权限提升缝隙安全公告

颁布功夫 2018-12-06

缝隙编号和级别


CVE编号：CVE-2018-1002105，危险级别：严沉，CVSS分值：厂商自评 9.8，官方未评定


影响版本


Kubernetes < v1.0.x-1.9.x

Kubernetes < v1.10.0-1.10.10 (fixed in v1.10.11)

Kubernetes < v1.11.0-1.11.4 (fixed in v1.11.5)

Kubernetes < v1.12.0-1.12.2 (fixed in v1.12.3)

以及其他所有基于 Kubernetes 的产品、服务等（如 OpenShift）  。


缝隙概述


12月3日，redhat 官方颁布安全公告，指出 Kubernetes （K8s）存在一个严沉的权限提升缝隙（CVE-2018-1002105），所有基于 Kubernetes 的服务和产品，蕴含 redhat OpenShift Container Platform，Red Hat OpenShift Online 和 Red Hat OpenShift Dedicated 都受到了影响  。


Kubernetes（常简称为 K8s）是用于自动部署、扩大和治理容器化利用法式的开源系统  。它旨在提供“跨主机集群的自动部署、扩大以及运行利用法式容器的平台”  。它支持一系列容器工具, 蕴含Docker等  。


OpenShift 是由 redhat 推出的 PaaS 云推算平台，供用户创建网络利用（App、网站）  。Openshift 底层以 Docker 作为容器引擎驱动，以 Kubernetes 作为容器编排引擎组件  。


任何可能通过 Kubernetes API server 与后端服务器成立衔接的用户，能够在维持衔接不休开的基础上，进一步利用 Kubernetes API server 已经授权的 TLS 凭证，发送被授权的肆意要求，从而造成权限提升甚至更大的风险  。攻击者只有保障该聚合 API 服务器在 Kubernetes API server 的网络中被允许即可  。而在默认情况下，所有的用户都能够在没有限度的情况下实现以上攻击  。


任何占有 pod exec/attach/portforward 权限的通常用户，能够获得运行在当前 pod 中肆意推算节点的集群治理员权限，从而可能接见所有隐衷数据、在这些 pod 中执行号令等  。


该缝隙由 Rancher Labs 的首席架构师兼结合首创人 Darren Shepherd 发现  。缝隙严沉水平被界说为 9.8 ，属于极度严沉的缝隙（满分为 10）  。


原因如下：

未授权的接见要求不会呈此刻 Kubernetes API 服务器的审计日志或服务器日志傍边，只在 kublet 或 聚合 API 服务器日志中可见  。而在聚合 API 服务器中，很难把这些未授权的接见要求和正常的接见要求分辨隔来  。


缝隙验证


暂无POC/EXP  。


建复建议


当即更新 Kubernetes 至 v1.10.11、v1.11.5，v1.12.3 和 v1.13.0-rc.1 的肆意一个版本  。


参考链接


https://access.redhat.com/security/cve/cve-2018-1002105

https://access.redhat.com/security/vulnerabilities/3716411

https://github.com/kubernetes/kubernetes/issues/71411