kubernetesの複数の脆弱性情報(CVE-2019-1002100, CVE-2019-1002101, CVE-2019-9946)と修正バージョン(v1.11.8, 1.12.6, 1.13.4)

2019.04.04

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

04/03/2019にkubernetesの複数の脆弱性情報(CVE-2019-1002100, CVE-2019-1002101, CVE-2019-9946)と修正バージョン(v1.11.8, 1.12.6, 1.13.4) が公開されています。今回はこれらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

Priority

  • CVE-2019-1002100

    Medium

    • CVSS v3 Base Score: 6.5
    • Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
  • CVE-2019-1002101

    High

  • CVE-2019-9946

    Medium

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • Kubernetes Security Announcement – v1.11.8, 1.12.6, 1.13.4 released to address medium severity CVE-2019-1002100
    • Kubernetes APIサーバに対するDoSの可能性
    • 重要度 – Moderate
    • 影響するバージョン：v1.0.0-1.10.x, v1.11.0-1.11.7, v1.12.0-1.12.5, v1.13.0-1.13.3
    • Kubernetes API サーバに対してpatchリクエストを行える認証されたユーザは、特別に細工された”json-patch”タイプ(例えば”kubectl patch –type json”や”Content-Type: application/json-patch+json”)を送ることで処理の際に膨大なリソースを消費させることが可能な為、これを利用してAPIサーバに対してDoSを仕掛けることが可能です。この脆弱性で情報漏えいや権限昇格は発生しません。
  • [ANNOUNCE] Security release of Kubernetes kubectl – potential directory traversal – Releases 1.11.9, 1.12.7, 1.13.5, and 1.14.0 – CVE-2019-1002101
    • “kubectl cp”コマンドによるコンテナからユーザマシンへの任意のファイルの書き込みの可能性
    • 重要度 – High
    • 影響するバージョン：v1.11.9, 1.12.7, 1.13.5, 1.14.0を含まない、それらより前のバージョン
    • “kubectl cp”コマンドはコンテナとユーザマシンの間でファイルをコピーします。コンテナからファイルをコピーする際、Kubernetesはコンテナ内部でtarを作成し、それをネットワーク越しにコピーして、ユーザマシン内で展開します。

      コンテナ内のtarバイナリが悪意のあるものになっている場合、任意のコードの実行や出力が出来ます。攻撃者はこれを利用して”kubectl cp”が呼び出されたときにユーザマシンの任意のパスに(ローカルユーザのシステム権限でのみ制限される)ファイルを書き込むことが出来ます。

  • [ANNOUNCE] Security release of Kubernetes affecting certain network configurations with CNI – Releases 1.11.9, 1.12.7, 1.13.5, and 1.14.0 – CVE-2019-9946
    • CNI(Container Networking Interface)Kubernetes APIサーバに対するDoSの可能性
    • 重要度 – Moderate
    • 影響するバージョン：v1.11.9, 1.12.7, 1.13.5, 1.14.0を含まない、それらより前のバージョン
    • 問題があるバージョンでは、CNI(Container Networking Interface)の為のHostPortsをセットアップするために使われる”portmap”プラグインは、iptables nat chainで”KUBE-SERVICE”チェインよりも前に(優先される)ルールを挿入します。これにより、HostPort/portmapルールは、よりフィットするフィルタ、例えばNodePortsのようなより適切なルールがあっても、それより先にルールがマッチしてしまいます。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生しますので、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

セキュリティ系連載案内

タイトルとURLをコピーしました