国产xxxx99真实实拍_久久不雅视频_高清韩国a级特黄毛片_嗯老师别我我受不了了小说

資訊專欄INFORMATION COLUMN

新近爆出的runC容器逃逸漏洞,用戶如何面對?

trigkit4 / 3221人閱讀

摘要:漏洞披露后,在第一時間發(fā)布了,用戶可升級到此版本以修復(fù)該漏洞。年年底被爆出的首個嚴(yán)重安全漏洞,就是由聯(lián)合創(chuàng)始人及首席架構(gòu)師發(fā)現(xiàn)的。年月被爆出儀表盤和外部代理安全漏洞時,也是第一時間向用戶響應(yīng),確保所有和的用戶都完全不被漏洞影響。

runC是一個根據(jù)OCI(Open Container Initiative)標(biāo)準(zhǔn)創(chuàng)建并運行容器的CLI工具,目前Docker引擎內(nèi)部也是基于runc構(gòu)建的。 2019年2月11日,研究人員通過oss-security郵件列表(https://www.openwall.com/list... )披露了runc容器逃逸漏洞的詳情,根據(jù)OpenWall的規(guī)定EXP會在7天后也就是2019年2月18日公開。

此漏洞允許以root身份運行的容器以特權(quán)用戶身份在主機上執(zhí)行任意代碼。實際上,這意味著容器可能會破壞Docker主機(覆蓋Runc CLI),而所需要的只是能夠使用root來運行容器。攻擊者可以使用受感染的Docker鏡像或?qū)ξ词芨腥镜恼谶\行的容器運行exec命令。針對此問題的已知緩解措施包括:

使用只讀主機文件系統(tǒng)運行

運行用戶命名空間

不在容器中運行root

正確配置的AppArmor / SELinux策略(當(dāng)前的默認(rèn)策略不夠)

Rancher團隊第一時間響應(yīng)

收到披露郵件后,RancherOS團隊立刻嘗試編寫了攻擊腳本,在一個普通容器中運行一個非常簡單的腳本就完成了對主機的攻擊,將主機上的runc替換成了其他程序。

漏洞披露后,Docker在第一時間發(fā)布了18.09.2,用戶可升級到此版本以修復(fù)該漏洞。Rancher Labs研發(fā)團隊同樣第一時間響應(yīng),發(fā)布了Rancher v2.1.6、v2.0.11和v1.6.26,這三個新版本Rancher支持Docker剛剛發(fā)布的18.09.2,Rancher用戶可以升級Docker版本以防止被該安全漏洞影響。

無法升級Docker版本怎么辦

通常由于各種因素,很多用戶的生產(chǎn)環(huán)境并不容易升級太新的Docker版本。

為了幫助無法按照Docker官方建議升級至最新版Docker 18.09.2的用戶解決此次問題,Rancher Labs團隊更進一步,已經(jīng)將修復(fù)程序反向移植到所有版本的Docker,為Docker 1.12.6、1.13.1、17.03.2、17.06.2、17.09.1、18.03.1和18.06.1提供補丁,修復(fù)這次漏洞!相關(guān)修補程序以及安裝說明,請參考:

https://github.com/rancher/ru...。

RancherOS的更新:v1.5.1 和 v1.4.3

RancherOS作為一款容器化操作系統(tǒng),其中很多組件依賴runc,我們也在第一時間更新了補丁并發(fā)布了v1.5.1和v1.4.3兩個版本。

RancherOS的核心部件system-docker和user-docker都依賴runc,所以v1.5.1和v1.4.3都對他們進行了更新。而針對user-docker,RancherOS可以切換各種版本的docker engine, 所以我們對以下docker engine都進行了反向移植:

v1.12.6/v1.13.1/v17.03.2/v17.06.2/v17.09.1/v17.12.1/v18.03.1/v18.06.1。

如果是默認(rèn)安裝v1.5.1或v1.4.3,補丁程序已經(jīng)是內(nèi)置的,你無需任何操作就可以避免該漏洞。如果你希望使用早期的docker版本,那么切換user-docker時,請使用上面提到的補丁修復(fù)版本:

同時v1.5.1版本也是支持docker 18.09.2,你可以切換到該版本,如果你考慮使用Docker官方的修復(fù)版本,只需簡單運行: ros engine switch docker-18.09.2。

我們推薦您使用最新的RancherOS v1.5.1版本,該除了修復(fù)CVE-2019-5736漏洞外還支持其他新特性以及一些Bug Fix。當(dāng)然,因為仍然有很多用戶在使用1.4.x版本,所以我們也發(fā)布了v1.4.3, 它只修復(fù)了runc漏洞,沒有其他額外的更新。

AWS相關(guān)鏡像已經(jīng)上傳到各個region中,可以直接搜索查找并使用,包括AWS中國區(qū)。其他主要鏡像列表參考:

https://github.com/rancher/os...

更多新特性和Bug Fix請參考v1.5.1的Release Notes:

https://github.com/rancher/os...

文檔說明:

https://rancher.com/docs/os/v...

RancherOS專注于Docker在Linux上的精簡體驗,它還是一個小眾的開源項目,歡迎您下載使用并給RancherOS團隊提供更多反饋。 同時,Github上的Star也是鼓勵我們繼續(xù)前行的精神動力喔~

初心不忘,為用戶的Docker & K8S之旅護航

Rancher Kubernetes平臺擁有著超過一億次下載量,我們深知安全問題對于用戶而言的重要性,更遑論那些通過Rancher平臺在生產(chǎn)環(huán)境中運行Docker及Kubernetes的數(shù)千萬用戶。

2018年年底Kubernetes被爆出的首個嚴(yán)重安全漏洞CVE-2018-1002105,就是由Rancher Labs聯(lián)合創(chuàng)始人及首席架構(gòu)師Darren Shepherd發(fā)現(xiàn)的。

2019年1月Kubernetes被爆出儀表盤和外部IP代理安全漏洞時,Rancher Labs也是第一時間向用戶響應(yīng),確保所有Rancher 2.x和1.6.x的用戶都完全不被漏洞影響。

未來,Rancher也將一如既往陪伴與支持在用戶的K8S之路左右??

文章版權(quán)歸作者所有,未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為,您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請注明本文地址:http://specialneedsforspecialkids.com/yun/28084.html

相關(guān)文章

  • Kubernetes新近kubectl及CNI漏洞修復(fù),Rancher 2.2.1發(fā)布

    摘要:今天,發(fā)布了一系列補丁版本,修復(fù)新近發(fā)現(xiàn)的兩個安全漏洞命令安全漏洞和端口映射插件漏洞。因為端口映射插件是嵌入到版本中的,只有升級至新版本的才能解決此問題。現(xiàn)在修復(fù)之后,將端口映射插件的規(guī)則由最優(yōu)先變?yōu)楦郊?,則可以讓流量優(yōu)先由規(guī)則處理。 今天,Kubernetes發(fā)布了一系列補丁版本,修復(fù)新近發(fā)現(xiàn)的兩個安全漏洞CVE-2019-1002101(kubectl cp命令安全漏洞)和CVE-...

    dkzwm 評論0 收藏0
  • runc容器逃逸漏洞最強后續(xù):應(yīng)對之策匯總與熱點疑問解答

    摘要:年月日,研究人員通過郵件列表披露了容器逃逸漏洞的詳情,根據(jù)的規(guī)定會在天后也就是年月日公開。在號當(dāng)天已通過公眾號文章詳細(xì)分析了漏洞詳情和用戶的應(yīng)對之策。 美國時間2019年2月11日晚,runc通過oss-security郵件列表披露了runc容器逃逸漏洞CVE-2019-5736的詳情。runc是Docker、CRI-O、Containerd、Kubernetes等底層的容器運行時,此...

    PingCAP 評論0 收藏0
  • RunC容器逃逸漏洞席卷業(yè)界,網(wǎng)易云如何做到實力修復(fù)?

    摘要:網(wǎng)易云技術(shù)團隊則迅速完成分析和測試,并以最高優(yōu)先級處理該漏洞,緊急上線了漏洞修復(fù)方案,最終完全消除了該漏洞可能產(chǎn)生的影響,確保了公有云服務(wù)的安全性。 近日,業(yè)界爆出的runC容器越權(quán)逃逸漏洞CVE-2019-5736,席卷了整個基于runC的容器云領(lǐng)域,大量云計算廠商和采用容器云的企業(yè)受到影響。網(wǎng)易云方面透露,經(jīng)過技術(shù)團隊的緊急應(yīng)對,網(wǎng)易云上的容器服務(wù)已經(jīng)被成功修復(fù),網(wǎng)易云公有云客戶在...

    weizx 評論0 收藏0
  • Runc和CVE-2019-5736

    摘要:中國論壇提案征集月日截止論壇讓用戶開發(fā)人員從業(yè)人員匯聚一堂,面對面進行交流合作。贊助方案出爐多元化獎學(xué)金現(xiàn)正接受申請即將首次合體落地中國 2月11日早上有宣布關(guān)于runc中的容器逃逸漏洞。我們希望為Kubernetes用戶提供一些指導(dǎo),以確保每個人都安全。 Runc是什么? 簡單來說,runc是一個低層工具,它負(fù)責(zé)大量生成Linux容器。Docker、Containerd和CRI-O等...

    blastz 評論0 收藏0
  • K8S新安全漏洞應(yīng)對之策:API Server拒絕服務(wù)漏洞

    摘要:爆出中等嚴(yán)重性安全漏洞拒絕服務(wù)漏洞。本文將進行漏洞解讀和情景再現(xiàn),并分享漏洞修復(fù)方案,用戶來看應(yīng)對之策了漏洞美國當(dāng)?shù)貢r間年月日,社區(qū)發(fā)布了拒絕服務(wù)的漏洞,即有寫入權(quán)限的用戶在寫入資源時會導(dǎo)致過度消耗資源,此漏洞被評級為中等嚴(yán)重性。 Kubernetes爆出中等嚴(yán)重性安全漏洞——Kubernetes API Server拒絕服務(wù)漏洞CVE-2019-1002100。 本文將進行漏洞解讀和...

    defcon 評論0 收藏0

發(fā)表評論

0條評論

最新活動
閱讀需要支付1元查看
<