kubernetes如何在专用网络中容易受到网络攻击

Question

最近在kubernetes中发现了一个严重漏洞，黑客可以在该漏洞中发送授权消息并访问kubernetes，然后从那里尝试登录到后端。 这仅在公共或私有网络中可行吗？怎么样？

Answer 1

关键点在这里：

  

在v1.10.11，v1.11.5和v1.12.3之前的所有Kubernetes版本中。

这些适用于不再受支持的 Kubernetes 的旧版本，您不应在生产系统上使用它们。如果要熟悉Kubernetes版本支持政策，请参阅this文章。如您所见：

  

Kubernetes项目维护最新的发行分支   三个次要版本。适用的修补程序（包括安全修补程序）可能会   根据严重程度回迁到这三个发布分支   和可行性。

当前它们是：1.13、1.14和1.15版本。

您可以看到here或here漏洞已于2018年12月发布，因此我不会说就现代软件开发流程标准而言，该漏洞是最近的。毫无疑问地考虑是否安全地使用某些具有漏洞/错误的软件，这些软件已经在较新的版本中修复，并且可以长期使用。

如果您对此错误感兴趣，可以分析this GitHub问题，或在this文章中阅读有关它的详细说明。如您所见：

  

该错误使攻击者可以发送合法的，经过授权的   向API服务器请求以绕过任何   已排序的请求。换句话说，将特权升级为任何   用户。

换句话说：：为了能够绕过后续请求中的授权逻辑或提升特权，此类用户需要能够向API服务器发送合法的授权请求。

因此，此时您可能可以自己回答问题。关键不是网络是公共的还是私有的。更重要的是如何保护它以及可以由谁访问它。通常，没有外部访问权限的专用网络（例如Intranet）通常会更安全，但是如果涉及到已经具有一定访问级别的人进行的特权升级等事情，那么即使在组织内部，这也有潜在的危险。