Kubernetesの複数の脆弱性情報(Moderate: CVE-2020-8557, CVE-2020-8558, CVE-2020-8559)

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

07/16/2020にKubernetesの複数の脆弱性情報(Moderate: CVE-2020-8557, CVE-2020-8558, CVE-2020-8559)が公開されています。今回はこれらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。



Priority

CVE番号影響するバージョンPriorityCVSS Score / CVSS Vector
CVE-2020-8557 kubelet v1.18.0-1.18.5, v1.17.0-1.17.8, < v1.16.13

Vendor:5.5 MEDIUM

Vendor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H/CR:H/IR:H/AR:M

CVE-2020-8558 kube-proxy v1.18.0-1.18.3 , v1.17.0-1.17.6 , <1.16.10

Vendor:5.4 MEDIUM

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

CVE-2020-8559 kube-api-server v1.18.0-1.18.5, v1.17.0-1.17.8, v1.16.0-1.16.12,

Vendor:6.4 MEDIUM

CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H

修正方法

    下記のバージョン以上にアップグレードして下さい。

  • v1.19.0
  • v1.18.6
  • v1.17.9
  • v1.16.13

詳しくは、各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8557
    • DoSの可能性
    • podが/etc/hostsファイルに書き込みを行える際に、巨大なデータを/etc/hostsファイルに書き込むことにより、Nodeのストレージ容量をいっぱいにしDoSを引き起こす事ができる可能性があります。
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8558
    • kube-proxyのバグ
    • kube-proxyに、隣接ホスト(同じLAN又はL2ドメインで実行されているホスト)に対して、127.0.0.1にバウンドされているノードのTCP/UDPサービスに到達できるようにする問題が発見されました。たとえば、クラスター管理者がTCPサービスを127.0.0.1:1234でListenするようにしていると、このバグにより、このサービスに同じLAN上の他のホストから到達できる可能性があります。
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8559
    • 危殆化されたノードからクラスタへの権限昇格の可能性
    • kube-apiserverに危殆化されたノードからの権限昇格の可能性が見つかりました。攻撃者がKubeletへの特定のリクエストを傍受した際に、リダイレクト応答をオリジナルのリクエストが使用していたクレデンシャルを用いて送信することが出来ます。これにより他のノードを危殆化させることが出来ます。



対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生する場合には、pacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。



セキュリティ系連載案内

セミナー情報1

コンピュータセキュリティシンポジウム(CSS)2020併設のワークショップ、 OSSセキュリティ技術ワークショップ(OWS) 2020の企画講演セッション及び、 一般論文セッションの発表募集をさせていただきます。

今年度はオンラインでの開催となります。奮ってのご投稿、お待ちしております。

https://www.iwsec.org/ows/2020/


タイトルとURLをコピーしました