检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
CVE-ID 漏洞级别 披露/发现时间 代码执行 CVE-2024-3154 严重 2024-04-26 漏洞影响 攻击者利用runc的systemd cgroup特性进行攻击，可通过在Pod注解中注入恶意的systemd属性（如：ExecStartPre、ExecStart、Exec
11478、CVE-2019-11479)，这些漏洞与最大分段大小（MSS）和TCP选择性确认（SACK）功能相关，攻击者可远程发送特殊构造的攻击包造成拒绝服务攻击，导致服务器不可用或崩溃。 华为云CCE团队已经紧急修复Linux内核SACK漏洞，并已发布解决方案。 参考链接： https://www
播回源客户端，攻击者可以通过截取某些发送至节点kubelet的升级请求，通过请求中原有的访问凭据转发请求至其他目标节点，从而造成被攻击节点的权限提升漏洞。该漏洞为中危漏洞，CVSS评分为6.4。 如果有多个集群共享使用了相同的CA和认证凭证，攻击者可以利用此漏洞攻击其他集群，这种情况下该漏洞为高危漏洞。
（CVE-2024-10220），该漏洞使得具有创建Pod权限的攻击者能够通过部署配置了gitRepo卷的Pod来执行容器外的任意命令。攻击者可以利用目标Git仓库中的钩子（hooks）目录，实现容器逃逸并执行攻击命令。 漏洞详情 表1 漏洞信息 漏洞类型 CVE-ID 漏洞级别
在CCE集群中使用镜像服务的安全配置建议 容器镜像是防御外部攻击的第一道防线，对保障应用程序、系统乃至整个供应链的安全至关重要。不安全的镜像容易成为攻击者的突破口，导致容器逃逸到宿主机。一旦容器逃逸发生，攻击者便能访问宿主机的敏感数据，甚至利用宿主机作为跳板，进一步控制整个集群或
的潜在攻击者，能够劫持集群内来自其他Pod或者节点的流量。潜在攻击者通过设置Service对象的spec.externalIPs字段，能够劫持集群内其他Pod或者节点访问该externalIP（如某公网知名IP）的流量，并将其转发到攻击者创建的恶意Pod中，造成中间人攻击。同理，
选择一个已有的弹性公网IP。如果无可用IP，可单击“创建弹性IP”前往EIP控制台进行创建。 通过绑定EIP实现公网访问，集群存在风险，建议绑定的EIP配置DDoS高防服务或配置API Server访问策略。 绑定EIP将会短暂重启集群API Server并更新kubeconfig证书，请避免在此期间操作集群。
国外安全研究团队披露在polkit的pkexec程序中存在一处权限提升漏洞（CVE-2021-4034，亦称PwnKit），攻击者通过在其默认配置中利用此漏洞实现用任何非特权用户获取易受攻击主机的完全root权限，目前漏洞POC/EXP已公开，风险较高。 Polkit（PolicyKit）是一个用
漏洞影响 当runc版本<=1.0.0-rc94时存在符号链接挂载与容器逃逸漏洞，攻击者可通过创建恶意Pod，挂载宿主机目录至容器中，利用runc的符号链接以及条件竞争漏洞，最终可能会导致容器逃逸，使攻击者能够访问宿主机的文件系统。 您需要检查节点上的runc版本是否<=1.0.0-rc94，以判断是否受该漏洞影响。
OpenSSH远程代码执行漏洞公告（CVE-2024-6387） OpenSSH是一个基于SSH协议的安全网络通信工具，通过加密所有流量以消除窃听、连接劫持和其他攻击。此外，OpenSSH 还提供大量安全隧道功能、多种身份验证方法和复杂的配置选项，是远程服务器管理和安全数据通信的必备工具。 漏洞详情 表1
节点，离线作业优先调度到超卖节点。 在线作业预选超卖节点时只能使用其非超卖资源 在线作业只能使用超卖节点的非超卖资源，离线作业可以使用超卖节点的超卖及非超卖资源。 同一调度周期在线作业先于离线作业调度 在线作业和离线作业同时存在时，优先调度在线作业。当节点资源使用率超过设定的驱逐
有如下优点： 平衡在线业务与离线业务对出口网络带宽的使用，保证在线业务有足够的网络带宽，在线业务触发阈值时，压缩离线业务带宽使用。 在线业务所占用的网络资源较少时，离线业务可使用更多带宽；在线业务所占用的网络资源较多时，降低离线业务资源占用量，从而优先保障在线业务的网络带宽。 约束与限制
ables规则，限制每分钟最多只能有25个TCP协议的数据包通过端口80进入，并且在超过这个限制时，允许最多100个数据包通过，以防止DDoS攻击。 iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst
ables规则，限制每分钟最多只能有25个TCP协议的数据包通过端口80进入，并且在超过这个限制时，允许最多100个数据包通过，以防止DDoS攻击。 iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst
639）的漏洞细节。由于 openvswitch模块中reserve_sfa_size()函数在使用过程中存在缺陷，导致本地经过身份认证的攻击者可以利用漏洞提升至root权限。目前漏洞poc已公开，风险较高。 表1 漏洞信息 漏洞类型 CVE-ID 漏洞级别 披露/发现时间 权限提升
ubernetes Image Builder中的两个安全漏洞（CVE-2024-9486和CVE-2024-9594），这些漏洞可能允许攻击者获得对虚拟机（VM）的root访问权限。 漏洞详情 表1 漏洞信息 漏洞类型 CVE-ID 漏洞级别 披露/发现时间 容器逃逸 CVE-2024-9486
2024-09-26 漏洞影响 该漏洞主要影响运行 CUPS 打印系统的 Unix 设备，若同时启用了 cups-browsed 服务，可能面临被远程攻击的风险，从而危及用户设备的安全。 判断方法 您可以在节点上执行以下命令查看是否安装CUPS相关服务： systemctl status cups-browsed
发出类似于 NF_ACCEPT 的丢弃错误时，nf_hook_slow() 函数会导致双重释放漏洞，本地攻击者利用此漏洞可将普通用户权限提升至 root 权限。 该漏洞是一个本地提权漏洞，需要攻击者先渗透到集群的node节点，利用难度较高。 判断方法 如果集群node节点OS是CentOS
PI server的网络直接连通。 集群对攻击者可见，即攻击者可以访问到kube-apiserver的接口，如果您的集群是部署在安全的私网内，那么不会有影响。 集群开放了pod exec/attach/portforward接口，则攻击者可以利用该漏洞获得所有的kubelet API访问权限。
理这些情况。 这些攻击媒介允许远程攻击者消耗过多的系统资源。有些攻击足够高效，单个终端系统可能会对多台服务器造成严重破坏（服务器停机/核心进程崩溃/卡死）。其他攻击效率较低的情况则产生了一些更棘手的问题，只会使服务器的运行变得缓慢，可能会是间歇性的，这样的攻击会更难以检测和阻止。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
