摘要：漏洞披露后，在第一时间发布了，用户可升级到此版本以修复该漏洞。年年底被爆出的首个严重安全漏洞，就是由联合创始人及首席架构师发现的。年月被爆出仪表盘和外部代理安全漏洞时，也是第一时间向用户响应，确保所有和的用户都完全不被漏洞影响。
runC是一个根据OCI（Open Container Initiative）标准创建并运行容器的CLI工具，目前Docker引擎内部也是基于runc构建的。 2019年2月11日，研究人员通过oss-security邮件列表（https://www.openwall.com/list... ）披露了runc容器逃逸漏洞的详情，根据OpenWall的规定EXP会在7天后也就是2019年2月18日公开。
此漏洞允许以root身份运行的容器以特权用户身份在主机上执行任意代码。实际上，这意味着容器可能会破坏Docker主机（覆盖Runc CLI），而所需要的只是能够使用root来运行容器。攻击者可以使用受感染的Docker镜像或对未受感染的正在运行的容器运行exec命令。针对此问题的已知缓解措施包括：
使用只读主机文件系统运行
运行用户命名空间
不在容器中运行root
正确配置的AppArmor / SELinux策略（当前的默认策略不够）
Rancher团队第一时间响应
收到披露邮件后，RancherOS团队立刻尝试编写了攻击脚本，在一个普通容器中运行一个非常简单的脚本就完成了对主机的攻击，将主机上的runc替换成了其他程序。
漏洞披露后，Docker在第一时间发布了18.09.2，用户可升级到此版本以修复该漏洞。Rancher Labs研发团队同样第一时间响应，发布了Rancher v2.1.6、v2.0.11和v1.6.26，这三个新版本Rancher支持Docker刚刚发布的18.09.2，Rancher用户可以升级Docker版本以防止被该安全漏洞影响。
无法升级Docker版本怎么办
通常由于各种因素，很多用户的生产环境并不容易升级太新的Docker版本。
为了帮助无法按照Docker官方建议升级至最新版Docker 18.09.2的用户解决此次问题，Rancher Labs团队更进一步，已经将修复程序反向移植到所有版本的Docker，为Docker 1.12.6、1.13.1、17.03.2、17.06.2、17.09.1、18.03.1和18.06.1提供补丁，修复这次漏洞！相关修补程序以及安装说明，请参考：
https://github.com/rancher/ru...。
RancherOS的更新：v1.5.1 和 v1.4.3
RancherOS作为一款容器化操作系统，其中很多组件依赖runc，我们也在第一时间更新了补丁并发布了v1.5.1和v1.4.3两个版本。
RancherOS的核心部件system-docker和user-docker都依赖runc，所以v1.5.1和v1.4.3都对他们进行了更新。而针对user-docker，RancherOS可以切换各种版本的docker engine， 所以我们对以下docker engine都进行了反向移植：
v1.12.6/v1.13.1/v17.03.2/v17.06.2/v17.09.1/v17.12.1/v18.03.1/v18.06.1。
如果是默认安装v1.5.1或v1.4.3，补丁程序已经是内置的，你无需任何操作就可以避免该漏洞。如果你希望使用早期的docker版本，那么切换user-docker时，请使用上面提到的补丁修复版本：
同时v1.5.1版本也是支持docker 18.09.2，你可以切换到该版本，如果你考虑使用Docker官方的修复版本，只需简单运行: ros engine switch docker-18.09.2。
我们推荐您使用最新的RancherOS v1.5.1版本，该除了修复CVE-2019-5736漏洞外还支持其他新特性以及一些Bug Fix。当然，因为仍然有很多用户在使用1.4.x版本，所以我们也发布了v1.4.3， 它只修复了runc漏洞，没有其他额外的更新。
AWS相关镜像已经上传到各个region中，可以直接搜索查找并使用，包括AWS中国区。其他主要镜像列表参考：
https://github.com/rancher/os...
更多新特性和Bug Fix请参考v1.5.1的Release Notes：
https://github.com/rancher/os...
文档说明：
https://rancher.com/docs/os/v...
RancherOS专注于Docker在Linux上的精简体验，它还是一个小众的开源项目，欢迎您下载使用并给RancherOS团队提供更多反馈。 同时，Github上的Star也是鼓励我们继续前行的精神动力喔~
初心不忘，为用户的Docker & K8S之旅护航
Rancher Kubernetes平台拥有着超过一亿次下载量，我们深知安全问题对于用户而言的重要性，更遑论那些通过Rancher平台在生产环境中运行Docker及Kubernetes的数千万用户。
2018年年底Kubernetes被爆出的首个严重安全漏洞CVE-2018-1002105，就是由Rancher Labs联合创始人及首席架构师Darren Shepherd发现的。
2019年1月Kubernetes被爆出仪表盘和外部IP代理安全漏洞时，Rancher Labs也是第一时间向用户响应，确保所有Rancher 2.x和1.6.x的用户都完全不被漏洞影响。
未来，Rancher也将一如既往陪伴与支持在用户的K8S之路左右❤️
文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。
转载请注明本文地址：https://www.ucloud.cn/yun/28084.html
摘要：今天，发布了一系列补丁版本，修复新近发现的两个安全漏洞命令安全漏洞和端口映射插件漏洞。因为端口映射插件是嵌入到版本中的，只有升级至新版本的才能解决此问题。现在修复之后，将端口映射插件的规则由最优先变为附加，则可以让流量优先由规则处理。 今天，Kubernetes发布了一系列补丁版本，修复新近发现的两个安全漏洞CVE-2019-1002101（kubectl cp命令安全漏洞）和CVE-...
摘要：年月日，研究人员通过邮件列表披露了容器逃逸漏洞的详情，根据的规定会在天后也就是年月日公开。在号当天已通过公众号文章详细分析了漏洞详情和用户的应对之策。 美国时间2019年2月11日晚，runc通过oss-security邮件列表披露了runc容器逃逸漏洞CVE-2019-5736的详情。runc是Docker、CRI-O、Containerd、Kubernetes等底层的容器运行时，此...
摘要：网易云技术团队则迅速完成分析和测试，并以最高优先级处理该漏洞，紧急上线了漏洞修复方案，最终完全消除了该漏洞可能产生的影响，确保了公有云服务的安全性。 近日，业界爆出的runC容器越权逃逸漏洞CVE-2019-5736，席卷了整个基于runC的容器云领域，大量云计算厂商和采用容器云的企业受到影响。网易云方面透露，经过技术团队的紧急应对，网易云上的容器服务已经被成功修复，网易云公有云客户在...
摘要：中国论坛提案征集月日截止论坛让用户开发人员从业人员汇聚一堂，面对面进行交流合作。赞助方案出炉多元化奖学金现正接受申请即将首次合体落地中国 2月11日早上有宣布关于runc中的容器逃逸漏洞。我们希望为Kubernetes用户提供一些指导，以确保每个人都安全。 Runc是什么？ 简单来说，runc是一个低层工具，它负责大量生成Linux容器。Docker、Containerd和CRI-O等...
摘要：爆出中等严重性安全漏洞拒绝服务漏洞。本文将进行漏洞解读和情景再现，并分享漏洞修复方案，用户来看应对之策了漏洞美国当地时间年月日，社区发布了拒绝服务的漏洞，即有写入权限的用户在写入资源时会导致过度消耗资源，此漏洞被评级为中等严重性。 Kubernetes爆出中等严重性安全漏洞——Kubernetes API Server拒绝服务漏洞CVE-2019-1002100。 本文将进行漏洞解读和...
阅读 980·2021-11-22 13:52
阅读 1425·2021-11-19 09:40
阅读 3052·2021-11-16 11:44
阅读 1219·2021-11-15 11:39
阅读 3836·2021-10-08 10:04
阅读 5262·2021-09-22 14:57
阅读 3081·2021-09-10 10:50
阅读 3149·2021-08-17 10:13
