遠端 Oracle Linux 7 主機中安裝的套件受到 ELSA-2022-10035 公告中提及的多個弱點影響。

  - 使用者可存取控制平面網路中的安全端點。只有在不受信任的使用者可以修改 Node 物件並向其傳送 Proxy 要求時，Kubernetes 叢集才會受到影響。Kubernetes 支援節點代理，允許 kube-apiserver 的用戶端存取 Kubelet 的端點，以建立與 Pod 的連線、擷取容器記錄等等。雖然 Kubernetes 已驗證節點的代理伺服器位址，但 kube-apiserver 中的一個錯誤使其有可能繞過此驗證。若繞過此驗證，則經驗證的目的地為節點的要求可傳送至 API 伺服器的私人網路。
    (CVE-2022-3294)

  - 經授權可在整個叢集範圍內列出或檢視一種命名空間自訂資源的使用者，可在未經授權的情況下，讀取相同 API 群組中不同類型的自訂資源。如果下列條件皆成立，則叢集會受到此弱點影響：1. 有 2 個以上的 CustomResourceDefinition 共用同一個 API 群組。2. 使用者對其中一個自訂資源擁有全叢集的清單或監視授權。3. 相同使用者無權讀取相同 API 群組中的其他自訂資源。(CVE-2022-3162)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Oracle Linux 7：kubernetes (ELSA-2022-10035)

high Nessus Plugin ID 168278

版本 1.2