k8s发布v1.13.9,v1.14.5,v1.15.2版本,解决安全漏洞CVE-2019-11247, CVE-2019-11249

半兽人 发表于: 2019-08-14   最后更新时间: 2019-08-14  

目前 kubernetes 紧急发布了1.13.9,1.14.51.15.2来解决Kubernetes中的两个安全问题。社区建议所有 kubernetse集群kubectl客户端 立即更新到其中一个版本,此安全漏洞安全级别为[中级]

CVE-2019-11247:API Server允许通过错误的范围访问自定义的资源

如果发出的请求与资源的名称空间相同,则此漏洞允许访问集群范围的自定义的资源。以这种方式访问的资源的授权是使用命名空间内的角色和角色绑定强制执行的,这意味着能访问一个命名空间中的资源,可以进行创建,查看更新或删除群集范围的资源(根据其命名空间角色权限)。

有关详细信息,请参阅Kubernetes问题#80983。 感谢Verizon Media的Prabu Shyam报告此问题。

CVE-2019-11249: CVE-2019-1002101和CVE-2019-11246的不完整修复,kubectl cp潜在目录遍历

此漏洞允许恶意容器在客户端使用kubectl cp操作时在客户端计算机上创建或替换文件。该漏洞是客户端的缺陷,需要利用用户交互。

有关详细信息,请参阅Kubernetes问题#80984。 感谢亚马逊的Yang Yang报告此问题。



您需要解锁本帖隐藏内容请: 点击这里
本帖隐藏的内容




半兽人 发表于: 1月前   最后更新时间: 1月前   游览量:209

上一条: Kubernetes(k8s)发布v1.15.3,v1.14.6,v1.13.10解决安全漏洞CVE-2019-9512和CVE-2019-9514[高危]
下一条: Kubernetes 1.15 发布说明