摘要：Kubernetes 社区发现安全漏洞 CVE-2018-1002105，阿里云容器服务已在第一时间完成全面修复，敬请广大用户登录阿里云控制台升级 Kubernetes 版本。
近日，Kubernetes 社区发现安全漏洞 CVE-2018-1002105，阿里云容器服务已在第一时间完成全面修复，敬请广大用户登录阿里云控制台升级 Kubernetes 版本。
目前 Kubernetes 开发团队已经发布 V1.10.11、V1.11.5 修复补丁，阿里云容器服务也已在第一时间完成漏洞全面修复，用户登录阿里云控制台即可一键升级。
更多信息可以移步公告《关于 Kubernetes CVE-2018-1002105 提权漏洞的修复公告》
漏洞发现后的措施具体而言有一下几种情况供大家参考：
1 用户选用阿里云容器服务 K8s
影响范围有限，阿里云容器服务 ACK 一直在推进和保障最小权限原则，默认开启了 RBAC，通过主账号授权管理默认禁止了匿名用户访问。同时 Kubelet 启动参数为”anonymous-auth=false”，提供了安全访问控制，防止外部入侵。对于使用子账号的多租户 ACK 集群用户，子账号访问 Kubernetes，其账号可能通过 Pod exec/attach/portforward 越权。如果集群只有管理员用户，则无需过度担心。子账号在不经过主账号自定义授权的情况下默认不具有聚合 API 资源的访问权限。这些子账号用户请选择合适业务时间升级，进入控制台点击一键更新安全版本 Kubernetes。
2 如果是完全自行搭建 K8s
如果是在 ECS 上自建 k8s 的用户，请务必检查各项配置，如有失误，会引发较大安全风险。若用户在阿里云 ECS 服务器上自建 Kubernetes 集群，建议第一时间登录 Kubernetes 官网下载最新版，做好备份给节点打快照，并检查好配置、确保权限最小化，选择合适业务时间升级。
3 如果是在无服务器版本
无服务器版本 Kubernetes 在此之前已额外加固，用户不受此漏洞影响
更多关于阿里云容器服务本次漏洞有限，阿里云容器服务 Kubernetes 采用了企业级的安全防护设计，为云上开发者省去了很多烦恼：
API Server 配置默认禁止匿名访问容器集群采用 VPC 方案，网络环境全隔离用户可以选择在公网隐藏 API Server 默认子帐号没有访问集群资源的权限此外，无服务器版本 Kubernetes 已提前加固，用户不受此漏洞影响。
去年 11 月，阿里云率先推出了 Kubernetes 管理服务，整合阿里云在虚拟化、存储、网络和安全能力的优势，提供多种应用发布方式和持续交付能力并支持微服务架构。用户可轻松创建、配置和管理虚拟机群集，在阿里云上部署和管理基于容器的应用程序。
为降低开发应用门槛，阿里云对 Kubernetes 能力进行了多重补充。比如，通过选择不同节点，实现异构计算集群支持深度学习等场景，或者云上一键部署集群，集成解决方案。
阿里云容器服务采用了高性能的神龙技术架构，资源利用率提升了 3 倍以上，同时融合以太网 RDMA 技术 25Gb 网络，相比自建性能可提高数倍。同时，阿里云还是业内首家提供 ServiceMesh 服务网格最佳实践及异地多活方案的云厂商。
安全是容器服务的重中之重。阿里云容器服务充分考虑了企业级的安全诉求，所有组件均提供双向证书验证，预制开启 RBAC 等鉴权能力，用户可以通过阿里云控制台可以安全地管理集群资源。
作为国内最大规模的公共云容器平台，阿里云已为西门子、新浪微博、国泰君安、小鹏汽车、安诺优达等数千多家企业提供容器服务，在全球十六个地域部署，支持公共云、专有云、金融云、政务云。