CVE编号
CVE-2019-11253利用情况
暂无补丁情况
官方补丁披露时间
2019-10-18漏洞描述
Google Kubernetes是美国谷歌（Google）公司的一套开源的Docker容器集群管理系统。该系统为容器化的应用提供资源调度、部署运行、服务发现和扩容缩容等功能。API server是其中的一个API（应用编程接口）服务器。 在版本v1.0-1.12和v1.13.12、v1.14.8、v1.15.5和v1.16.2之前的版本中，Kubernetes API服务器的输入验证不正确，允许授权用户发送恶意YAML或JSON有效负载，导致API服务器消耗过多的CPU或内存，可能崩溃并变得不可用。在v1.14.0之前，默认的RBAC策略授权匿名用户提交可能触发此漏洞的请求。从v1.14.0之前的版本升级的集群在默认情况下保留更为宽松的策略以实现向后兼容性。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://access.redhat.com/errata/RHSA-2019:3239 | |
| https://access.redhat.com/errata/RHSA-2019:3811 | |
| https://access.redhat.com/errata/RHSA-2019:3905 | |
| https://github.com/kubernetes/kubernetes/issues/83253 | |
| https://groups.google.com/forum/#!topic/kubernetes-security-announce/jk8polzSUxs | |
| https://security.netapp.com/advisory/ntap-20191031-0006/ |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | kubernetes | kubernetes | * |
From (including) 1.1.0 |
Up to (including) 1.12.10 |
||||
| 运行在以下环境 | |||||||||
| 应用 | kubernetes | kubernetes | * |
From (including) 1.13.0 |
Up to (excluding) 1.13.2 |
||||
| 运行在以下环境 | |||||||||
| 应用 | kubernetes | kubernetes | * |
From (including) 1.14.0 |
Up to (excluding) 1.14.8 |
||||
| 运行在以下环境 | |||||||||
| 应用 | kubernetes | kubernetes | * |
From (including) 1.15.0 |
Up to (excluding) 1.15.5 |
||||
| 运行在以下环境 | |||||||||
| 应用 | kubernetes | kubernetes | * |
From (including) 1.16.0 |
Up to (excluding) 1.16.2 |
||||
| 运行在以下环境 | |||||||||
| 应用 | redhat | openshift_container_platform | 3.10 | - | |||||
| 运行在以下环境 | |||||||||
| 应用 | redhat | openshift_container_platform | 3.11 | - | |||||
| 运行在以下环境 | |||||||||
| 应用 | redhat | openshift_container_platform | 3.9 | - | |||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.11 | containerd | * |
Up to (excluding) 1.3.3-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.12 | containerd | * |
Up to (excluding) 1.3.3-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.13 | containerd | * |
Up to (excluding) 1.3.3-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.14 | containerd | * |
Up to (excluding) 1.3.3-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.15 | containerd | * |
Up to (excluding) 1.3.3-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_edge | containerd | * |
Up to (excluding) 1.3.3-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | oracle_7 | containerd | * |
Up to (excluding) 0.0.1-1.0.28.el7 |
|||||
- 攻击路径 远程
- 攻击复杂度 复杂
- 权限要求 无需权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 100
还没有评论，来说两句吧...