KnowSafe 安全预警：kube-proxy 边界限制访问绕过漏洞（CVE-2020-8558）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-8558 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

Kubernetes是美国Linux基金会的一套开源的Docker容器集群管理系统。该系统为容器化的应用提供资源调度、部署运行、服务发现和扩容缩容等功能。

Kubernetes中的Kubelet和kube-proxy 1.1.0版本至1.16.10版本、1.17.0版本至1.17.6版本和1.18.0版本至1.18.3版本中存在授权问题漏洞。攻击者可利用该漏洞获取权限或访问监听本地主机端口的任意服务的敏感信息。

应用：kubernetes kubernetes（影响面 Up to (including) 1.16.10）

应用：kubernetes kubernetes（影响面 Up to (including) 1.17.6）

应用：kubernetes kubernetes（影响面 Up to (including) 1.18.3）

系统：debian_11 kubernetes（影响面 Up to (excluding) 1.18.5-1）

系统：debian_12 kubernetes（影响面 Up to (excluding) 1.18.5-1）

1、当前ACK集群默认关闭API Server 8080非认证端口，请勿手动开启该端口。

2、执行以下命令，在集群中配置iptables规则，用于拒绝非本地对127.0.0.1的访问流量。

iptables -I INPUT --dst 127.0.0.0/8 ! --src 127.0.0.0/8 -m conntrack ! --ctstate RELATED,ESTABLISHED,DNAT -j DROP

3、严格控制集群节点共享主机的登录权限，及时吊销可能泄露的kubeconfig集群访问凭证。

4、禁止Container开启CAP_NET_RAW能力，执行以下命令，可以在pod spec中关闭Container的CAP_NET_RAW能力。

securityContext:

capabilities:

drop: ["NET_RAW"]

5、通过PodSecurityPolicy策略限制部署特权或共享主机网络容器，另外可以通过在策略中配置requiredDropCapabilities强制容器部署关闭CAP_NET_RAW能力。

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。