【漏洞通告】Kubernetes Windows node 命令注入漏洞安全风险通告

近日，嘉诚安全监测到Kubernetes发布安全公告，修复了Kubernetes Windows Node中创建Pod或挂载存储时可能触发的命令注入漏洞，漏洞编号为：CNNVD-202311-1310(CVE-2023-5528)。

Kubernetes是一个用于自动部署、扩展和管理容器化应用程序的平台。kubelet是Kubernetes用于运行节点上容器的代理组件（node agent）。

鉴于漏洞危害较大，嘉诚安全提醒相关用户尽快更新至安全版本，避免引发漏洞相关的网络安全事件。

经研判，该漏为高危漏洞。在Kubernetes中存在一个安全问题，可以在Windows节点上创建pod和持久卷的用户可能会在这些节点上升级到管理员权限。只有使用Windows节点树内存储插件的Kubernetes群集才会受到影响。任何带有Windows节点的kubernetes环境都会受到影响。

影响版本

1.28.0 <= Kubernetes Windows < 1.28.4

1.27.0 <= Kubernetes Windows < 1.27.8

1.26.0 <= Kubernetes Windows < 1.26.11

1.25.0 <= Kubernetes Windows < 1.25.16

1.8.0 <= Kubernetes Windows < 1.25.0

根据影响版本中的信息，建议相关用户尽快更新至安全版本：

kubernetes >= 1.25.16

kubernetes >= 1.26.11

kubernetes >= 1.27.8

kubernetes >= 1.28.4

参考链接：

https://github.com/kubernetes/kubernetes/pull/121881/commits/2d9128116