前言
Kubernetes (简称K8s)是是一个开源的，用于管理云平台中多个主机上的容器化的应用，Kubernetes的目标是让部署容器化的应用简单并且高效，Kubernetes提供了应用部署、规划、更新、维护的一种机制。K8s 最早是由谷歌开发的，目前由Cloud Native Computing Foundation 基金会维护。
漏洞概述
研究人员在K8s 中发现一个影响所有K8s版本的设计漏洞，允许租户创建和更新服务的多租户集群成为最易受到攻击的目标。如果攻击者可以创建或编辑服务或pod，可能就可以拦截集群中来自其他pod的流量。如果用任意的外部IP 来创建一个服务，集群中到该IP 的流量就会被路由到该服务，这样有权限利用外部IP 来创建服务的攻击者就可以拦截到任意目标IP的流量。
CVE-2020-8554漏洞是中危漏洞，有创建和编辑服务和pod等基本租户权限的攻击者可以在没有任何用户交互的情况下远程利用该漏洞。
由于External IP （外部IP）服务并没有广泛应用于多租户集群中，而且授予租户LoadBalancer IP 的补丁服务/状态权限并不推荐，因此该漏洞只影响少量的Kubernetes 部署。
如何拦截CVE-2020-8554漏洞利用
虽然Kubernetes 开发团队还没有提供安全补丁，但是Kubernetes产品安全委员会已经就如何临时拦截该漏洞利用提供了建议。建议通过限制对有漏洞的特征的访问来应对CVE-2020-8554漏洞。此外，还可以用admission webhook container来限制对外部IP的使用，源码和部署指南参见 https://github.com/kubernetes-sigs/externalip-webhook 。
使用Open Policy Agent Gatekeeper 策略控制器来实现对外部IP 的限制，具体参见：https://github.com/open-policy-agent/gatekeeper-library/tree/master/library/general/externalip
-
作者：极度安全 -
原文链接: https://www.secvery.com/4551.html
热门文章推荐
-
Kubernetes 1.20版本开始不推荐使用Docker，你知道吗？ -
Linux Used内存到底哪里去了？ -
Harbor v2.0 镜像回收那些事 -
Kubernetes v1.15.3 升级到 v1.18.5 心得 -
聊聊 resolv.conf 中 search 和 ndots 配置 -
解密 Docker 挂载文件，宿主机修改后容器里文件没有修改
最后
-
后台回复 【 列表】，可获取本公众号所有文章列表 -
欢迎您加我微信【 ypxiaozhan01 】，拉您进技术群，一起交流学习
-
欢迎您关注【 YP小站 】，学习互联网最流行的技术，做个专业的技术人
本文分享自微信公众号 - YP小站（ypxiaozhan）。
如有侵权，请联系 [email protected] 删除。
本文参与“OSC源创计划”，欢迎正在阅读的你也加入，一起分享。