こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。
07/16/2020にKubernetesの複数の脆弱性情報(Moderate: CVE-2020-8557, CVE-2020-8558, CVE-2020-8559)が公開されています。今回はこれらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。
[過去の関連リンク(最新5件)]
Kubernetes(kube-controller-manager)の脆弱性情報(Moderate: CVE-2020-8555)
Kubernetes(kube-apiserver) の脆弱性情報(CVE-2019-11254)
Kubernetes の脆弱性情報(Moderate: CVE-2020-8551, CVE-2020-8552)
Kubernetes(kubectl)の脆弱性情報(Medium: CVE-2019-11251)と新バージョン(v1.16.0 / 1.15.4 / 1.14.7/ 1.13.11)
Kubernetes CSI sidecarの脆弱性情報(Medium/Moderate: CVE-2019-11255)
kube-state-metricsの脆弱性情報(Moderate: CVE-2019-10223)
kubernetesの脆弱性情報(Moderate: CVE-2019-11248)
kubernetesの複数の脆弱性情報(Moderate: CVE-2019-11247, CVE-2019-11249)
一次情報源
[Security Advisory] CVE-2020-8557: Node disk DOS by writing to container /etc/hosts
[Security Advisory] CVE-2020-8559: Privilege escalation from compromised node to cluster
Priority
| CVE番号 | 影響するバージョン | Priority | CVSS Score / CVSS Vector |
|---|---|---|---|
| CVE-2020-8557 | kubelet v1.18.0-1.18.5, v1.17.0-1.17.8, < v1.16.13 | Vendor:5.5 MEDIUM | Vendor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H/CR:H/IR:H/AR:M |
| CVE-2020-8558 | kube-proxy v1.18.0-1.18.3 , v1.17.0-1.17.6 , <1.16.10 | Vendor:5.4 MEDIUM | CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
| CVE-2020-8559 | kube-api-server v1.18.0-1.18.5, v1.17.0-1.17.8, v1.16.0-1.16.12, Vendor:6.4 MEDIUM CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H |
修正方法
- 下記のバージョン以上にアップグレードして下さい。
- v1.19.0
- v1.18.6
- v1.17.9
- v1.16.13
詳しくは、各ディストリビューションの情報を確認してください。
CVE概要(詳細はCVEのサイトをご確認ください)
- http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8557
- DoSの可能性
- podが/etc/hostsファイルに書き込みを行える際に、巨大なデータを/etc/hostsファイルに書き込むことにより、Nodeのストレージ容量をいっぱいにしDoSを引き起こす事ができる可能性があります。
- http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8558
- kube-proxyのバグ
- kube-proxyに、隣接ホスト(同じLAN又はL2ドメインで実行されているホスト)に対して、127.0.0.1にバウンドされているノードのTCP/UDPサービスに到達できるようにする問題が発見されました。たとえば、クラスター管理者がTCPサービスを127.0.0.1:1234でListenするようにしていると、このバグにより、このサービスに同じLAN上の他のホストから到達できる可能性があります。
- http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8559
- 危殆化されたノードからクラスタへの権限昇格の可能性
- kube-apiserverに危殆化されたノードからの権限昇格の可能性が見つかりました。攻撃者がKubeletへの特定のリクエストを傍受した際に、リダイレクト応答をオリジナルのリクエストが使用していたクレデンシャルを用いて送信することが出来ます。これにより他のノードを危殆化させることが出来ます。
主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
- Debian
https://security-tracker.debian.org/tracker/CVE-2020-8557
- Red Hat Enterprise Linux/CentOS
https://access.redhat.com/security/cve/CVE-2020-8557
- Ubuntu
https://people.canonical.com/~ubuntu-security/cve/2020/CVE-2020-8557.html
https://people.canonical.com/~ubuntu-security/cve/2020/CVE-2020-8558.html
https://people.canonical.com/~ubuntu-security/cve/2020/CVE-2020-8559.html
- SUSE/openSUSE
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
また、サービスの再起動が発生する場合には、pacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。
[参考]
[Security Advisory] CVE-2020-8557: Node disk DOS by writing to container /etc/hosts
[Security Advisory] CVE-2020-8559: Privilege escalation from compromised node to cluster
セキュリティ系連載案内
- OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。
- OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。
- OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2018のレポートが紹介されています。
- OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。
- OSSセキュリティ技術の会の面により、@ITで「OpenSCAPで脆弱性対策はどう変わる？」が連載されています。
- OSSセキュリティ技術の会のメンバーにより、@ITで「Berkeley Packet Filter（BPF）入門」が連載されています。
セミナー情報1
コンピュータセキュリティシンポジウム(CSS)2020併設のワークショップ、 OSSセキュリティ技術ワークショップ(OWS) 2020の企画講演セッション及び、 一般論文セッションの発表募集をさせていただきます。
今年度はオンラインでの開催となります。奮ってのご投稿、お待ちしております。
