摘要：爆出中等严重性安全漏洞拒绝服务漏洞。本文将进行漏洞解读和情景再现，并分享漏洞修复方案，用户来看应对之策了漏洞美国当地时间年月日，社区发布了拒绝服务的漏洞，即有写入权限的用户在写入资源时会导致过度消耗资源，此漏洞被评级为中等严重性。
Kubernetes爆出中等严重性安全漏洞——Kubernetes API Server拒绝服务漏洞CVE-2019-1002100。
本文将进行漏洞解读和情景再现，并分享漏洞修复方案，Rancher用户来看应对之策了！
CVE-2019-1002100漏洞
美国当地时间2019年3月2日，Kubernetes社区发布了Kubernetes API server拒绝服务的漏洞（CVE-2019-1002100），即有API写入权限的用户在写入资源时会导致Kubernetes API server过度消耗资源，此漏洞被评级为【中等严重性】。
此漏洞表现为用户在向Kubernetes API server发送 json-patch规则的补丁包来更新资源对象时（例如kubectl patch xxx --type json 或者“Content-Type: application/json-patch+json”)，Kubernetes API server会消耗极大的资源，最终导致API server拒绝连接。
https://github.com/kubernetes...
情景再现
一个json-patch的例子：
kubectl patch deployment test --type="json" -p "[{"op": "add", "path": "/metadata/labels/test", "value": "test"}，{"op": "add", "path": "/metadata/labels/app", "value": "test"} ,{…} ]"
当我们向Kubernetes频繁地发送多个json-patch请求来更新资源对象时，可以发现Kubernetes API server会消耗很多资源来处理我们的请求。
此时会有一部分资源的patch请求失败，无法得到Kubernetes API server的响应。
受此漏洞影响的Kubernetes API server的版本包括：
v1.0.0 – 1.10.x
v1.11.0 – 1.11.7
v1.12.0 – 1.12.5
v1.13.0 – 1.13.3
Kubernetes官方建议用户在升级至修复版本之前，可针对此漏洞的采取的缓解措施为：
对不受信任用户移除patch权限
漏洞修复
Kubernetes社区很快地修复了此漏洞，增加了对用户json-patch操作数量的限制。
当用户对某一资源对象修改的 json-patch 内容超过10000个操作时，Kubernetes API server会返回413（RequestEntityTooLarge）的错误。
错误信息如下：
Request entity too large: The allowed maximum operations in a JSON patch is 10000, got 10004
修复的Kubernetes版本包括：
v1.11.8
v1.12.6
v1.13.4
Rancher已发布最新版本应对此次漏洞
此次也一如既往，在Kubernetes自身爆出漏洞之后，Rancher Labs团队都第一时间响应，保障使用Rancher平台管理Kubernetes集群的用户的安全。
如果你是使用Rancher平台管理Kubernetes集群，不用担心，Rancher已于今日发布了最新版本，支持包含漏洞修复的Kubernetes版本，保障所有Rancher用户的Kubernetes集群不受此次漏洞困扰。
最新发布的Rancher版本为：
v2.1.7（提供Kubernetes v1.11.8, v1.12.6, v1.13.4支持）
v2.0.12（提供Kubernetes v1.11.8支持）
对于Rancher 1.6.x的用户，可以在Rancher v1.6.26的Catalog中使用Kubernetes发布的修复版本 v1.11.8和v1.12.6
此次漏洞会影响的Kubernetes版本范围较广，建议中招的用户尽快升级哟！
为用户的Docker & K8S之旅护航
Rancher Kubernetes平台拥有着超过一亿次下载量，我们深知安全问题对于用户而言的重要性，更遑论那些通过Rancher平台在生产环境中运行Docker及Kubernetes的数千万用户。
2018年年底Kubernetes被爆出的首个严重安全漏洞CVE-2018-1002105，就是由Rancher Labs联合创始人及首席架构师Darren Shepherd发现的。
2019年1月Kubernetes被爆出仪表盘和外部IP代理安全漏洞CVE-2018-18264时，Rancher Labs也是第一时间向用户响应，确保所有Rancher 2.x和1.6.x的用户都完全不被漏洞影响。
2019年2月爆出的严重的runc容器逃逸漏洞CVE-2019-5736，影响到大多数Docker与Kubernetes用户，Rancher Kubernetes管理平台和RancherOS操作系统均在不到一天时间内紧急更新，是业界第一个紧急发布新版本支持Docker补丁版本的平台，还帮忙将修复程序反向移植到所有版本的Docker并提供给用户，且提供了连Docker官方都不支持的针对Linux 3.x内核的修复方案。
负责、可靠、快速响应、以用户为中心，是Rancher始终不变的初心；在每一次业界出现问题时，严谨踏实为用户提供相应的应对之策，也是Rancher一如既往的行事之道。未来，Rancher也将一如既往支持与守护在用户的K8S之路左右，确保大家安全、稳妥、无虞地继续前进❤️
文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。
转载请注明本文地址：https://www.ucloud.cn/yun/32910.html
摘要：年月日，研究人员通过邮件列表披露了容器逃逸漏洞的详情，根据的规定会在天后也就是年月日公开。在号当天已通过公众号文章详细分析了漏洞详情和用户的应对之策。 美国时间2019年2月11日晚，runc通过oss-security邮件列表披露了runc容器逃逸漏洞CVE-2019-5736的详情。runc是Docker、CRI-O、Containerd、Kubernetes等底层的容器运行时，此...
摘要：近期，仪表盘和外部代理接连被发现存在安全问题。本文将更深入解读这两个安全漏洞的原理会对您的部署造成的影响以及相应的应对之策。在中，仪表盘作为每个集群环境的一部分包含在内但是，部署不受影响，因为充当了仪表盘的身份验证授权和代理。 近期，Kubernetes仪表盘和外部IP代理接连被发现存在安全问题。针对这两个漏洞，Kubernetes发布了相应的补丁版本供会受漏洞影响的用户解决问题。本文...
摘要：今天，发布了一系列补丁版本，修复新近发现的两个安全漏洞命令安全漏洞和端口映射插件漏洞。因为端口映射插件是嵌入到版本中的，只有升级至新版本的才能解决此问题。现在修复之后，将端口映射插件的规则由最优先变为附加，则可以让流量优先由规则处理。 今天，Kubernetes发布了一系列补丁版本，修复新近发现的两个安全漏洞CVE-2019-1002101（kubectl cp命令安全漏洞）和CVE-...
摘要：环境复杂性生态系统易变性跨不同分布式基础架构的部署本文将为你解析生产环境部署容器的五大挑战及应对之策。因此，在整个生产环境中创建监视和销毁的组件需求总量呈指数级增长，从而显著增加了基于容器的管理环境的复杂性。 Docker容器使应用程序开发变得更容易，但在生产中部署容器可能会很难。环境复杂性、生态系统易变性、跨不同分布式基础架构的部署......本文将为你解析生产环境部署容器的五大挑战...
阅读 1319·2021-11-19 11:38
阅读 3536·2021-11-15 11:37
阅读 777·2021-09-30 09:48
阅读 919·2021-09-29 09:46
阅读 876·2021-09-23 11:22
阅读 1853·2019-08-30 15:44
阅读 3362·2019-08-26 13:58
阅读 2361·2019-08-26 13:26
