成人国产在线小视频_日韩寡妇人妻调教在线播放_色成人www永久在线观看_2018国产精品久久_亚洲欧美高清在线30p_亚洲少妇综合一区_黄色在线播放国产_亚洲另类技巧小说校园_国产主播xx日韩_a级毛片在线免费

資訊專欄INFORMATION COLUMN

Kubernetes安全公告：發(fā)布v1.11.8、1.12.6、1.13.4以解決中等嚴(yán)重性CVE-

mengbo / 1610人閱讀

摘要：?jiǎn)栴}是中等嚴(yán)重性，可以通過將升級(jí)到或來解決。沒有與此漏洞相關(guān)的信息泄露或權(quán)限升級(jí)。我們將其評(píng)為，中等。請(qǐng)注意，如果您在中發(fā)現(xiàn)安全漏洞，請(qǐng)按照安全公開流程進(jìn)行報(bào)告。感謝和開發(fā)修復(fù)程序，感謝修補(bǔ)程序發(fā)布經(jīng)理和協(xié)調(diào)發(fā)布。

Kubernetes社區(qū)你好，

在kube-apiserver中發(fā)現(xiàn)了拒絕服務(wù)漏洞，其中具有API寫入權(quán)限的授權(quán)用戶可以在處理寫入請(qǐng)求時(shí)導(dǎo)致API服務(wù)器消耗過多的資源。問題是中等嚴(yán)重性，可以通過將kube-apiserver升級(jí)到v1.11.8、v1.12.6或v1.13.4來解決。

我使用的版本是脆弱嗎？

以下版本的kube-apiserver易受攻擊：

v1.0.0-1.10.x

v1.11.0-1.11.7

v1.12.0-1.12.5

v1.13.0-1.13.3

如何在升級(jí)之前緩解漏洞？

對(duì)不受信任的用戶刪除“patch”權(quán)限。

漏洞詳細(xì)信息

有權(quán)向Kubernetes API服務(wù)器發(fā)出補(bǔ)?。╬atch）請(qǐng)求的用戶可以發(fā)送特制的“json-patch”補(bǔ)丁（例如kubectl patch --type json或“Content-Type: application/json-patch+json”）處理時(shí)消耗過多資源，導(dǎo)致API服務(wù)器上的拒絕服務(wù)。沒有與此漏洞相關(guān)的信息泄露或權(quán)限升級(jí)。

這漏洞提交為CVE-2019-1002100。我們將其評(píng)為CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H（6.5，中等）。請(qǐng)參閱GitHub問題#74534了解更多詳情。

謝謝

感謝Carl Henrik Lunde報(bào)告此問題。請(qǐng)注意，如果您在Kubernetes中發(fā)現(xiàn)安全漏洞，請(qǐng)按照安全公開流程進(jìn)行報(bào)告。

感謝Chao Xu和Jordan Liggitt開發(fā)修復(fù)程序，感謝修補(bǔ)程序發(fā)布經(jīng)理Aleksandra Malinowska、Timothy Pepper、Pengfei Ni和Anirudh Ramanathan協(xié)調(diào)發(fā)布。

-CJ Cullen代表Kubernetes產(chǎn)品安全團(tuán)隊(duì)

KubeCon + CloudNativeCon和Open Source Summit大會(huì)日期：

會(huì)議日程通告日期：2019 年 4 月 10 日

會(huì)議活動(dòng)舉辦日期：2019 年 6 月 24 至 26 日

KubeCon + CloudNativeCon和Open Source Summit贊助方案
KubeCon + CloudNativeCon和Open Source Summit多元化獎(jiǎng)學(xué)金現(xiàn)正接受申請(qǐng)
KubeCon + CloudNativeCon和Open Source Summit即將首次合體落地中國(guó)
KubeCon + CloudNativeCon和Open Source Summit購(gòu)票窗口，立即購(gòu)票！

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://systransis.cn/yun/32892.html

相關(guān)文章

  • K8S新安全漏洞的應(yīng)對(duì)之策：API Server拒絕服務(wù)漏洞

    摘要：爆出中等嚴(yán)重性安全漏洞拒絕服務(wù)漏洞。本文將進(jìn)行漏洞解讀和情景再現(xiàn)，并分享漏洞修復(fù)方案，用戶來看應(yīng)對(duì)之策了漏洞美國(guó)當(dāng)?shù)貢r(shí)間年月日，社區(qū)發(fā)布了拒絕服務(wù)的漏洞，即有寫入權(quán)限的用戶在寫入資源時(shí)會(huì)導(dǎo)致過度消耗資源，此漏洞被評(píng)級(jí)為中等嚴(yán)重性。 Kubernetes爆出中等嚴(yán)重性安全漏洞——Kubernetes API Server拒絕服務(wù)漏洞CVE-2019-1002100。 本文將進(jìn)行漏洞解讀和...

    defcon 評(píng)論0 收藏0

  • Kubernetes新近kubectl及CNI漏洞修復(fù)，Rancher 2.2.1發(fā)布

    摘要：今天，發(fā)布了一系列補(bǔ)丁版本，修復(fù)新近發(fā)現(xiàn)的兩個(gè)安全漏洞命令安全漏洞和端口映射插件漏洞。因?yàn)槎丝谟成洳寮乔度氲桨姹局械模挥猩?jí)至新版本的才能解決此問題?，F(xiàn)在修復(fù)之后，將端口映射插件的規(guī)則由最優(yōu)先變?yōu)楦郊?，則可以讓流量?jī)?yōu)先由規(guī)則處理。 今天，Kubernetes發(fā)布了一系列補(bǔ)丁版本，修復(fù)新近發(fā)現(xiàn)的兩個(gè)安全漏洞CVE-2019-1002101（kubectl cp命令安全漏洞）和CVE-...

    dkzwm 評(píng)論0 收藏0

  • Zoom漏洞可使攻擊者攔截?cái)?shù)據(jù)攻擊客戶基礎(chǔ)設(shè)施

    摘要：云視頻會(huì)議提供商發(fā)布了針對(duì)其產(chǎn)品中多個(gè)漏洞的補(bǔ)丁，這些漏洞可能讓犯罪分子竊取會(huì)議數(shù)據(jù)并攻擊客戶基礎(chǔ)設(shè)施。研究人員表示，這些漏洞使得攻擊者可以輸入命令來執(zhí)行攻擊，從而以最大權(quán)限獲得服務(wù)器訪問權(quán)。 .markdown-body{word-break:break-word;line-height:1.75;font-weight:400;font-size:15px;overflow-x:hid...

    morgan 評(píng)論0 收藏0

  • Runc和CVE-2019-5736

    摘要：中國(guó)論壇提案征集月日截止論壇讓用戶開發(fā)人員從業(yè)人員匯聚一堂，面對(duì)面進(jìn)行交流合作。贊助方案出爐多元化獎(jiǎng)學(xué)金現(xiàn)正接受申請(qǐng)即將首次合體落地中國(guó) 2月11日早上有宣布關(guān)于runc中的容器逃逸漏洞。我們希望為Kubernetes用戶提供一些指導(dǎo)，以確保每個(gè)人都安全。 Runc是什么？ 簡(jiǎn)單來說，runc是一個(gè)低層工具，它負(fù)責(zé)大量生成Linux容器。Docker、Containerd和CRI-O等...

    blastz 評(píng)論0 收藏0

  • 新近爆出的runC容器逃逸漏洞，用戶如何面對(duì)？

    摘要：漏洞披露后，在第一時(shí)間發(fā)布了，用戶可升級(jí)到此版本以修復(fù)該漏洞。年年底被爆出的首個(gè)嚴(yán)重安全漏洞，就是由聯(lián)合創(chuàng)始人及首席架構(gòu)師發(fā)現(xiàn)的。年月被爆出儀表盤和外部代理安全漏洞時(shí)，也是第一時(shí)間向用戶響應(yīng)，確保所有和的用戶都完全不被漏洞影響。 runC是一個(gè)根據(jù)OCI（Open Container Initiative）標(biāo)準(zhǔn)創(chuàng)建并運(yùn)行容器的CLI工具，目前Docker引擎內(nèi)部也是基于runc構(gòu)建的。...

    trigkit4 評(píng)論0 收藏0

發(fā)表評(píng)論

0條評(píng)論

最新活動(dòng)
閱讀需要支付1元查看
<