摘要：?Kubernetes社區發現安全漏洞 CVE-2018-1002105，阿里云容器服務已在第一時間完成全面修復，敬請廣大用戶登錄阿里云控制臺升級Kubernetes版本。

近日，Kubernetes社區發現安全漏洞 CVE-2018-1002105，阿里云容器服務已在第一時間完成全面修復，敬請廣大用戶登錄阿里云控制臺升級Kubernetes版本。

目前Kubernetes開發團隊已經發布V1.10.11、V1.11.5修復補丁，阿里云容器服務也已在第一時間完成漏洞全面修復，用戶登錄阿里云控制臺即可一鍵升級。

更多信息可以移步公告《關于Kubernetes CVE-2018-1002105 提權漏洞的修復公告》

漏洞發現后的措施

具體而言有一下幾種情況供大家參考：

1 用戶選用阿里云容器服務K8s

影響范圍有限，阿里云容器服務ACK一直在推進和保障最小權限原則，默認開啟了RBAC，通過主賬號授權管理默認禁止了匿名用戶訪問。同時Kubelet 啟動參數為”anonymous-auth=false”，提供了安全訪問控制，防止外部入侵。對于使用子賬號的多租戶ACK集群用戶，子賬號訪問Kubernetes，其賬號可能通過Pod exec/attach/portforward越權。如果集群只有管理員用戶，則無需過度擔心。子賬號在不經過主賬號自定義授權的情況下默認不具有聚合API資源的訪問權限。這些子賬號用戶請選擇合適業務時間升級，進入控制臺點擊一鍵更新安全版本Kubernetes。

2 如果是完全自行搭建K8s

如果是在ECS上自建k8s的用戶，請務必檢查各項配置，如有失誤，會引發較大安全風險。若用戶在阿里云ECS服務器上自建Kubernetes集群，建議第一時間登錄Kubernetes官網下載最新版，做好備份給節點打快照，并檢查好配置、確保權限最小化，選擇合適業務時間升級。

3 如果是在無服務器版本

無服務器版本Kubernetes在此之前已額外加固，用戶不受此漏洞影響

更多關于阿里云容器服務

本次漏洞有限，阿里云容器服務Kubernetes采用了企業級的安全防護設計，為云上開發者省去了很多煩惱：

• API Server配置默認禁止匿名訪問

• 容器集群采用VPC方案，網絡環境全隔離

• 用戶可以選擇在公網隱藏API Server

• 默認子帳號沒有訪問集群資源的權限

此外，無服務器版本Kubernetes已提前加固，用戶不受此漏洞影響。

去年11月，阿里云率先推出了Kubernetes管理服務，整合阿里云在虛擬化、存儲、網絡和安全能力的優勢，提供多種應用發布方式和持續交付能力并支持微服務架構。用戶可輕松創建、配置和管理虛擬機群集，在阿里云上部署和管理基于容器的應用程序。

為降低開發應用門檻，阿里云對Kubernetes能力進行了多重補充。比如，通過選擇不同節點，實現異構計算集群支持深度學習等場景，或者云上一鍵部署集群，集成解決方案。

阿里云容器服務采用了高性能的神龍技術架構，資源利用率提升了3倍以上，同時融合以太網RDMA技術25Gb網絡，相比自建性能可提高數倍。同時，阿里云還是業內首家提供ServiceMesh服務網格最佳實踐及異地多活方案的云廠商。

安全是容器服務的重中之重。阿里云容器服務充分考慮了企業級的安全訴求，所有組件均提供雙向證書驗證，預制開啟RBAC等鑒權能力，用戶可以通過阿里云控制臺可以安全地管理集群資源。

作為國內最大規模的公共云容器平臺，阿里云已為西門子、新浪微博、國泰君安、小鵬汽車、安諾優達等數千多家企業提供容器服務，在全球十六個地域部署，支持公共云、專有云、金融云、政務云。