Kubernetes重大漏洞?阿里云已第一时间全面修复

34次阅读

共计 1484 个字符,预计需要花费 4 分钟才能阅读完成。

摘要:Kubernetes 社区发现安全漏洞 CVE-2018-1002105,阿里云容器服务已在第一时间完成全面修复,敬请广大用户登录阿里云控制台升级 Kubernetes 版本。
近日,Kubernetes 社区发现安全漏洞 CVE-2018-1002105,阿里云容器服务已在第一时间完成全面修复,敬请广大用户登录阿里云控制台升级 Kubernetes 版本。
目前 Kubernetes 开发团队已经发布 V1.10.11、V1.11.5 修复补丁,阿里云容器服务也已在第一时间完成漏洞全面修复,用户登录阿里云控制台即可一键升级。

更多信息可以移步公告《关于 Kubernetes CVE-2018-1002105 提权漏洞的修复公告》
漏洞发现后的措施具体而言有一下几种情况供大家参考:
1 用户选用阿里云容器服务 K8s
影响范围有限,阿里云容器服务 ACK 一直在推进和保障最小权限原则,默认开启了 RBAC,通过主账号授权管理默认禁止了匿名用户访问。同时 Kubelet 启动参数为”anonymous-auth=false”,提供了安全访问控制,防止外部入侵。对于使用子账号的多租户 ACK 集群用户,子账号访问 Kubernetes,其账号可能通过 Pod exec/attach/portforward 越权。如果集群只有管理员用户,则无需过度担心。子账号在不经过主账号自定义授权的情况下默认不具有聚合 API 资源的访问权限。这些子账号用户请选择合适业务时间升级,进入控制台点击一键更新安全版本 Kubernetes。
2 如果是完全自行搭建 K8s
如果是在 ECS 上自建 k8s 的用户,请务必检查各项配置,如有失误,会引发较大安全风险。若用户在阿里云 ECS 服务器上自建 Kubernetes 集群,建议第一时间登录 Kubernetes 官网下载最新版,做好备份给节点打快照,并检查好配置、确保权限最小化,选择合适业务时间升级。
3 如果是在无服务器版本
无服务器版本 Kubernetes 在此之前已额外加固,用户不受此漏洞影响
更多关于阿里云容器服务本次漏洞有限,阿里云容器服务 Kubernetes 采用了企业级的安全防护设计,为云上开发者省去了很多烦恼:
API Server 配置默认禁止匿名访问容器集群采用 VPC 方案,网络环境全隔离用户可以选择在公网隐藏 API Server 默认子帐号没有访问集群资源的权限此外,无服务器版本 Kubernetes 已提前加固,用户不受此漏洞影响。
去年 11 月,阿里云率先推出了 Kubernetes 管理服务,整合阿里云在虚拟化、存储、网络和安全能力的优势,提供多种应用发布方式和持续交付能力并支持微服务架构。用户可轻松创建、配置和管理虚拟机群集,在阿里云上部署和管理基于容器的应用程序。
为降低开发应用门槛,阿里云对 Kubernetes 能力进行了多重补充。比如,通过选择不同节点,实现异构计算集群支持深度学习等场景,或者云上一键部署集群,集成解决方案。
阿里云容器服务采用了高性能的神龙技术架构,资源利用率提升了 3 倍以上,同时融合以太网 RDMA 技术 25Gb 网络,相比自建性能可提高数倍。同时,阿里云还是业内首家提供 ServiceMesh 服务网格最佳实践及异地多活方案的云厂商。
安全是容器服务的重中之重。阿里云容器服务充分考虑了企业级的安全诉求,所有组件均提供双向证书验证,预制开启 RBAC 等鉴权能力,用户可以通过阿里云控制台可以安全地管理集群资源。
作为国内最大规模的公共云容器平台,阿里云已为西门子、新浪微博、国泰君安、小鹏汽车、安诺优达等数千多家企业提供容器服务,在全球十六个地域部署,支持公共云、专有云、金融云、政务云。

正文完
 0