【漏洞描述】
安全研究人员发现Kubernetes一个安全问题，官方已发布通告，Kubernetes 节点的设置允许相邻主机绕过本地主机边界。

kube-proxy组件在iptables和ipvs模式下均需要设置内核参数 net.ipv4.conf.all.route_localnet=1， 从而允许本地回环访问。

k8s集群节点上如果有绑定在127.0.0.1上的服务，则该服务可以被同一个LAN或二层网络上的主机访问，从而获取接口信息。如果服务没有设置必要的安全认证，可能造成信息泄露风险。

Kubernetes是一个开源系统，用于跨多台主机管理容器化的应用程序。它为应用程序的部署、维护和扩展提供了基本机制。

【漏洞编号】
CVE-2020-8558

【漏洞等级】
在典型集群中，风险等级为中风险（cvss评分：5.4）

在尚未禁用API服务器不安全端口的集群中，风险等级为高风险（cvss评分：8.8）

【影响范围】
下列版本的kube-proxy组件受此漏洞影响：
kube-proxy v1.18.0~v1.18.3
kube-proxy v1.17.0~v1.17.6
kube-proxy <= v1.16.10

【安全版本】
kube-proxy v1.18.4+
kube-proxy v1.17.7+
kube-proxy v1.16.11+

【漏洞修复和缓解方案】
腾讯安全专家建议相关用户参考以下文档升级修复
https://kubernetes.io/docs/tasks/administer-cluster/cluster-management/#upgrading-a-cluster

暂不方便升级的，可采取以下漏洞缓解措施：
1.升级之前，可以通过在节点上手动添加iptables规则来缓解此漏洞。此规则将拒绝来自节点的流量至127.0.0.1。

iptables -I INPUT --dst 127.0.0.0/8 ! --src 127.0.0.0/8 -m conntrack ! --ctstate RELATED,ESTABLISHED,DNAT -j DROP

2.如果您的集群尚未禁用API Server不安全端口，强烈建议禁用它。将以下标志添加到kubernetes API服务器命令行中：--insecure-port=0

建议同时更新两者kubelet并kube-proxy确保已解决该问题。

【腾讯安全解决方案】
腾讯主机安全产品已支持检测云主机系统是否受CVE-2020-8558漏洞影响

腾讯主机安全提供云上终端的防毒杀毒、防入侵、漏洞管理、基线管理等。关于腾讯主机安全的更多信息，可参考：https://cloud.tencent.com/product/cwp

【参考链接】
https://www.openwall.com/lists/oss-security/2020/07/08/1
https://github.com/kubernetes/kubernetes/issues/92315
https://kubernetes.io/docs/tasks/administer-cluster/cluster-management/#upgrading-a-cluster

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！