kubernetesの複数の脆弱性情報(CVE-2019-1002100, CVE-2019-1002101, CVE-2019-9946)と修正バージョン(v1.11.8, 1.12.6, 1.13.4)
こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。
04/03/2019にkubernetesの複数の脆弱性情報(CVE-2019-1002100, CVE-2019-1002101, CVE-2019-9946)と修正バージョン(v1.11.8, 1.12.6, 1.13.4) が公開されています。今回はこれらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。
一次情報源
Kubernetes Security Announcement - v1.11.8, 1.12.6, 1.13.4 released to address medium severity CVE-2019-1002100 [ANNOUNCE] Security release of Kubernetes kubectl - potential directory traversal - Releases 1.11.9, 1.12.7, 1.13.5, and 1.14.0 - CVE-2019-1002101 [ANNOUNCE] Security release of Kubernetes affecting certain network configurations with CNI - Releases 1.11.9, 1.12.7, 1.13.5, and 1.14.0 - CVE-2019-9946Priority
- CVE-2019-1002100
Medium
- CVSS v3 Base Score: 6.5
- Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
- CVE-2019-1002101
High
- CVE-2019-9946
Medium
修正方法
各ディストリビューションの情報を確認してください。
CVE概要(詳細はCVEのサイトをご確認ください)
- Kubernetes Security Announcement - v1.11.8, 1.12.6, 1.13.4 released to address medium severity CVE-2019-1002100
- Kubernetes APIサーバに対するDoSの可能性
- 重要度 - Moderate
- 影響するバージョン:v1.0.0-1.10.x, v1.11.0-1.11.7, v1.12.0-1.12.5, v1.13.0-1.13.3
- Kubernetes API サーバに対してpatchリクエストを行える認証されたユーザは、特別に細工された"json-patch"タイプ(例えば"kubectl patch --type json"や"Content-Type: application/json-patch+json")を送ることで処理の際に膨大なリソースを消費させることが可能な為、これを利用してAPIサーバに対してDoSを仕掛けることが可能です。この脆弱性で情報漏えいや権限昇格は発生しません。
- [ANNOUNCE] Security release of Kubernetes kubectl - potential directory traversal - Releases 1.11.9, 1.12.7, 1.13.5, and 1.14.0 - CVE-2019-1002101
- "kubectl cp"コマンドによるコンテナからユーザマシンへの任意のファイルの書き込みの可能性
- 重要度 - High
- 影響するバージョン:v1.11.9, 1.12.7, 1.13.5, 1.14.0を含まない、それらより前のバージョン
- "kubectl cp"コマンドはコンテナとユーザマシンの間でファイルをコピーします。コンテナからファイルをコピーする際、Kubernetesはコンテナ内部でtarを作成し、それをネットワーク越しにコピーして、ユーザマシン内で展開します。 コンテナ内のtarバイナリが悪意のあるものになっている場合、任意のコードの実行や出力が出来ます。攻撃者はこれを利用して"kubectl cp"が呼び出されたときにユーザマシンの任意のパスに(ローカルユーザのシステム権限でのみ制限される)ファイルを書き込むことが出来ます。
- [ANNOUNCE] Security release of Kubernetes affecting certain network configurations with CNI - Releases 1.11.9, 1.12.7, 1.13.5, and 1.14.0 - CVE-2019-9946
- CNI(Container Networking Interface)Kubernetes APIサーバに対するDoSの可能性
- 重要度 - Moderate
- 影響するバージョン:v1.11.9, 1.12.7, 1.13.5, 1.14.0を含まない、それらより前のバージョン
- 問題があるバージョンでは、CNI(Container Networking Interface)の為のHostPortsをセットアップするために使われる"portmap"プラグインは、iptables nat chainで"KUBE-SERVICE"チェインよりも前に(優先される)ルールを挿入します。これにより、HostPort/portmapルールは、よりフィットするフィルタ、例えばNodePortsのようなより適切なルールがあっても、それより先にルールがマッチしてしまいます。
主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
- Debian
https://security-tracker.debian.org/tracker/CVE-2019-1002100
https://security-tracker.debian.org/tracker/CVE-2019-1002101
- Red Hat Enterprise Linux/CentOS
https://access.redhat.com/security/cve/CVE-2019-1002100
- Ubuntu
https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-1002100.html
https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-1002101.html
https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-9946.html
- SUSE/openSUSE
https://www.suse.com/security/cve/CVE-2019-1002100.html
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
また、サービスの再起動が発生しますので、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。
[参考]
Kubernetes Security Announcement - v1.11.8, 1.12.6, 1.13.4 released to address medium severity CVE-2019-1002100 [ANNOUNCE] Security release of Kubernetes kubectl - potential directory traversal - Releases 1.11.9, 1.12.7, 1.13.5, and 1.14.0 - CVE-2019-1002101 [ANNOUNCE] Security release of Kubernetes affecting certain network configurations with CNI - Releases 1.11.9, 1.12.7, 1.13.5, and 1.14.0 - CVE-2019-9946セキュリティ系連載案内
- OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。
- OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。
- OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2018のレポートが紹介されています。
- OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。
- OSSセキュリティ技術の会の面により、@ITで「OpenSCAPで脆弱性対策はどう変わる?」が連載されています。
- OSSセキュリティ技術の会のメンバーにより、@ITで「Berkeley Packet Filter(BPF)入門」が連載されています。
OSSに関するお困りごとは サイオス OSSよろず相談室まで
サイオスOSSよろず相談室 では、OSSを利用する中で発生する問題に対し、長年培ってきた技術力・サポート力をもって企業のOSS活用を強力に支援します。Red Hat Enterprise Linux のほか、CentOS をご利用されている環境でのサポートも提供いたします。
フォローしませんか?