Kubelet /debug/pprof 信息泄漏漏洞

CVE编号

CVE-2019-11248

利用情况

暂无

补丁情况

官方补丁

披露时间

2019-08-29

漏洞描述

Google Kubernetes是美国谷歌（Google）公司的一套开源的Docker容器集群管理系统。该系统为容器化的应用提供资源调度、部署运行、服务发现和扩容缩容等功能。Kubelet 是 Kubernetes 的核心组件之一。
默认情况下，Kubelet 的 healthz 节在10248端口对外开放且无身份验证，但仅限于 localhost 。如果该节点使用非本地的 healthzBindAddress (--health-bind-address) 和旧版本，则存在信息泄露的风险。1.15.0、1.14.4、1.13.8 和 1.12.10 之前的版本会受到影响。

解决建议

建议升级该组件至最新版本，或者更新节点配置将“healthzBindAddress”设置为“127.0.0.1”。

参考链接
https://github.com/kubernetes/kubernetes/issues/81023
https://groups.google.com/d/msg/kubernetes-security-announce/pKELclHIov8/BEDtRELACQAJ
https://security.netapp.com/advisory/ntap-20190919-0003/

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	kubernetes	kubernetes	*		Up to (excluding) 1.12.10
	运行在以下环境
	应用	kubernetes	kubernetes	1.13.0	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.13.1	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.13.2	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.13.3	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.13.4	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.13.5	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.13.6	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.13.7	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.13.8	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.14.0	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.14.1	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.14.2	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.14.3	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.14.4	-
	运行在以下环境
	应用	kubernetes	kubernetes	1.15.0	-
	运行在以下环境
	系统	fedora_30	kubernetes-node	*		Up to (excluding) 1.15.2-1.fc30

阿里云评分 3.1

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-862 授权机制缺失