遠端 Oracle Linux 7 主機中安裝的套件受到 ELSA-2019-4593 公告中提及的多個弱點影響。

  - Cloud Native Computing Foundation (CNCF) CNI (Container Networking Interface) 0.7.4 有一個網路防火牆設定錯誤，會影響 Kubernetes。CNI 'portmap' Plugin (用於設定 CNI 的 HostPorts) 會在 iptables nat 鏈結的前端插入規則；iptables nat 鏈結優先於 KUBE- SERVICES 鏈結。因此，即使在鏈結的後面有更適合、更具體的服務定義規則 (如 NodePorts)，HostPort/portmap 規則仍可符合傳入流量。此問題已在 CNI 0.7.5 和 Kubernetes 1.11.9、1.12.7、1.13.5 和 1.14.0 中修正。(CVE-2019-9946)

  - kubectl cp 命令允許在容器和使用者電腦之間複製檔案。若要從容器複製檔案，Kubernetes 會在容器內建立一個 tar，並透過網路進行複制，然後 kubectl 在使用者的電腦上將其解壓縮。如果容器中的 tar 二進位檔為惡意檔，則它可執行任何程式碼並輸出非預期的惡意結果。攻擊者可利用此弱點，在呼叫 kubectl cp 時，將檔案寫入使用者電腦上的任何路徑，僅受本機使用者的系統權限限制。untar 函式可建立和遵循符號連結。此問題已在 kubectl v1.11.9、v1.12.7、v1.13.5 和 v1.14.0 中解決。(CVE-2019-1002101)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Oracle Linux 7：kubernetes / kubeadm-upgrade / kubeadm-ha-setup (ELSA-2019-4593)

high Nessus Plugin ID 180683

找不到依附元件