漏洞公告-华为云

云容器引擎 CCE-NVIDIA Container Toolkit容器逃逸漏洞公告（CVE-2024-0132）:判断方法

判断方法如果集群未安装CCE AI套件（NVIDIA GPU）插件或插件版本低于2.0.0，则不涉及该漏洞。 CCE AI套件（NVIDIA GPU）插件老版本命名为：gpu-beta、gpu-device-plugin。如果CCE AI套件（NVIDIA GPU）插件版本大于等于2.0.0，请登录GPU节点执行以下命令： nvidia-container-runtime --version 若显示无此命令，则不涉及该漏洞。若显示nvidia-container-runtime版本低于1.16.2，则涉及该漏洞。

云容器引擎 CCE 漏洞公告

云容器引擎 CCE-OpenSSH远程代码执行漏洞公告（CVE-2024-6387）:相关链接

相关链接 Ubuntu漏洞公告：https://ubuntu.com/security/CVE-2024-6387 Ubuntu补丁获取链接：https://launchpad.net/ubuntu/+source/openssh/1:8.9p1-3ubuntu0.10 Huawei Cloud EulerOS公告：https://repo.huaweicloud.com/hce/2.0/sa/HCE2-SA-2024-0224.xml

云容器引擎 CCE 漏洞公告

云容器引擎 CCE-OpenSSH远程代码执行漏洞公告（CVE-2024-6387）:漏洞消减方案

漏洞消减方案对于存量的集群节点，请按以下方法进行修复：针对Ubuntu操作系统，建议您将openssh升级到官方发布的修复版本（1:8.9p1-3ubuntu0.10），详情请参见官方链接。针对Huawei Cloud EulerOS 2.0操作系统，建议您将openssh升级到官方发布的修复版本（openssh-8.8p1-2.r34），详情请参见官方公告。对于新建的集群节点，CCE将提供已修复该漏洞的节点镜像，请留意补丁版本发布记录关注修复进展。

云容器引擎 CCE 漏洞公告

云容器引擎 CCE-OpenSSH远程代码执行漏洞公告（CVE-2024-6387）:判断方法

判断方法查看节点操作系统及openssh版本：如果集群node节点OS是EulerOS、Huawei Cloud EulerOS 1.1和CentOS，openssh版本不受该漏洞影响。如果集群node节点OS是Huawei Cloud EulerOS 2.0，可以用如下命令查看安装包版本： rpm -qa |grep openssh 若openssh版本小于openssh-8.8p1-2.r34，且开放了SSH端口（默认为22），则受该漏洞影响。如果集群node节点OS是Ubuntu 22.04，可以用如下命令查看安装包版本： dpkg -l |grep openssh 若openssh版本小于1:8.9p1-3ubuntu0.10，且开放了SSH端口（默认为22），则受该漏洞影响。查看SSH端口是否开放的命令如下： netstat -tlnp|grep -w 22 若查询结果显示存在SSH端口正在监听，则表示该节点已开放了SSH访问。

云容器引擎 CCE 漏洞公告

云容器引擎 CCE-Kubernetes subpath符号链接交换安全漏洞（CVE-2021- 25741）:漏洞处理方案

漏洞处理方案您可以禁用 kubelet 上的VolumeSubpath feature gate，并删除任何使用subPath功能的现有 Pod。以root用户登录CCE Node节点。修改kubelet配置参数，关闭VolumeSubpath特性。 vi /opt/cloud/cce/kubernetes/kubelet/kubelet_config.yaml 添加VolumeSubpath: false字段重启kubelet。 systemctl restart kubelet 确认kubelet新进程已启动，且已关闭VolumeSubpath。 vi /var/paas/sys/log/kubernetes/kubelet.log 搜索VolumeSubpath=false，如果能搜到说明关闭成功。删除任何使用subPath功能的Pod。

云容器引擎 CCE 漏洞公告

云容器引擎 CCE-Kubernetes subpath符号链接交换安全漏洞（CVE-2021- 25741）:VolumeSubpath特性开启或回退

VolumeSubpath特性开启或回退修改kubelet配置文件，删除VolumeSubpath相关字段。 vi /opt/cloud/cce/kubernetes/kubelet/kubelet_config.yaml 重启kubelet。 systemctl restart kubelet 确认kubelet新进程已启动，且重启后的kubelet.log日志中无VolumeSubpath=false相关字段。

云容器引擎 CCE 漏洞公告

云容器引擎 CCE-Kubernetes subpath符号链接交换安全漏洞（CVE-2021- 25741）:漏洞影响

漏洞影响该漏洞涉及VolumeSubpath特性开关开启场景（默认开启），可能造成以下影响：若恶意用户可以创建一个带有子路径卷挂载的容器，则可以访问卷外的文件和目录，包括主机文件系统上的文件和目录。集群管理员已限制创建 hostPath 挂载的能力的集群受到的影响最严重。利用该漏洞可以在不使用 hostPath 功能的情况下进行类似 hostPath 的访问，从而绕过限制。在默认的 Kubernetes 环境中，漏洞利用可用于掩盖对已授予特权的滥用。

云容器引擎 CCE 漏洞公告

云容器引擎 CCE-Kubernetes subpath符号链接交换安全漏洞（CVE-2021- 25741）:漏洞详情

漏洞详情社区在 Kubernetes 中发现了一个安全问题，用户可以创建一个带有subPath volume挂载的容器，访问卷外的文件和目录，包括主机文件系统上的文件和目录。容器使用subPath去挂载一些文件或者目录时，攻击者可能利用Symlink Exchange 访问除挂载目录之外的目录或者主机上的文件，造成越权。表1 漏洞信息漏洞类型 CVE-ID 漏洞级别披露/发现时间资源管理错误 CVE-2021-25741 中 2021-09-15

云容器引擎 CCE 漏洞公告

分布式消息服务RabbitMQ版-漏洞修复策略:修复声明

修复声明为了防止客户遭遇不当风险，除漏洞背景信息、漏洞详情、漏洞原理分析、影响范围/版本/场景、解决方案以及参考信息等内容外，分布式消息服务RabbitMQ版不提供有关漏洞细节的其他信息。此外，分布式消息服务RabbitMQ版为所有客户提供相同的信息，以平等地保护所有客户。分布式消息服务RabbitMQ版不会向个别客户提供事先通知。最后，分布式消息服务RabbitMQ版不会针对产品中的漏洞开发或发布可利用的入侵代码（或“验证性代码”）。

分布式消息服务RabbitMQ版漏洞公告

云服务器内容精选

漏洞公告

7*24

备案

专业服务

退订

建议反馈

售前咨询热线