Bollettini sulla sicurezza

---

In questa pagina vengono descritti tutti i bollettini sulla sicurezza per i seguenti prodotti:

• Google Kubernetes Engine (GKE)
• Google Distributed Cloud (solo software) su VMware
• GKE su AWS
• GKE su Azure
• Google Distributed Cloud (solo software) su bare metal

Le vulnerabilità sono spesso mantenute segrete sotto embargo finché le parti interessate non hanno avuto la possibilità di affrontarle. In questi casi, le note di rilascio del prodotto faranno riferimento agli "aggiornamenti della sicurezza " fino a quando l'embargo non sarà stato revocato. A quel punto le note verranno aggiornate per riflettere la vulnerabilità affrontata dalla patch.

Nota: se esegui carichi di lavoro multi-tenant su GKE o GDC (VMware), ti preghiamo di prestare particolare attenzione a questi bollettini. È più probabile che queste vulnerabilità influiscano sui carichi di lavoro multi-tenant. Per una descrizione tecnica dei limiti di sicurezza in GKE o GDC (VMware) e del modo in cui questi influiscono sui carichi di lavoro, consulta il post del blog dedicato all'isolamento a livelli differenti dello stack Kubernetes.

Quando GKE emette un bollettino sulla sicurezza correlato direttamente alla configurazione o alla versione del tuo cluster, potremmo inviarti una SecurityBulletinEvent notifica del cluster che fornisce informazioni sulla vulnerabilità e sulle azioni che puoi intraprendere, se applicabili. Per informazioni sulla configurazione delle notifiche del cluster, consulta Notifiche del cluster.

Per saperne di più su come Google gestisce le vulnerabilità e le patch di sicurezza per GKE e GKE Enterprise, consulta Patch di sicurezza.

Le piattaforme GKE e GKE Enterprise non utilizzano componenti come ingress-nginx e il runtime del container CRI-O e non sono interessate da eventuali vulnerabilità in questi componenti. Se installi componenti da altre origini, consulta gli aggiornamenti della sicurezza e i consigli per l'applicazione di patch per questi componenti presso la fonte.

Utilizza questo feed XML per iscriverti ai bollettini sulla sicurezza per questa pagina.

GCP-2024-061

Pubblicato il: 25/11/2024
Riferimento: CVE-2024-10220

GKE

Descrizione

Gravità

Un problema di sicurezza rilevato nei cluster Kubernetes potrebbe comportare l'esecuzione di codice remoto utilizzando un volume gitRepo. Se il repository Git è stato creato con intenti dannosi, un utente con la possibilità di creare un pod e associare un volume gitRepo potrebbe eseguire comandi arbitrari oltre il confine del contenitore. Che cosa devo fare? Esegui l'upgrade del cluster GKE e dei pool di nodi a una versione con patch. Le seguenti versioni di GKE sono state aggiornate per correggere questa vulnerabilità: 1.27.16-gke.1008000 1.28.12-gke.1052000 1.29.7-gke.1008000 1.30.3-gke.1225000 1.31.0-gke.1058000 Per motivi di sicurezza, anche con l'upgrade automatico dei nodi abilitato, ti consigliamo di eseguire manualmente l'upgrade del tuo cluster e dei tuoi pool di nodi a una versione GKE con patch. I canali di rilascio GKE ti consentono di applicare patch senza dover annullare l'iscrizione o modificare i canali di rilascio. In questo modo puoi proteggere il cluster e i nodi prima che la nuova versione diventi predefinita sul canale di rilascio selezionato. Quali vulnerabilità vengono affrontate da questa patch? CVE-2024-10220 consente a un utente malintenzionato di creare un pod e associare un volume gitRepo per eseguire comandi arbitrari oltre il confine del contenitore.

Alta

GDC (VMware)

Descrizione

Gravità

Un problema di sicurezza rilevato nei cluster Kubernetes potrebbe comportare l'esecuzione di codice remoto utilizzando un volume gitRepo. Se il repository Git è stato creato con intenti dannosi, un utente con la capacità di creare un pod e associare un volume gitRepo potrebbe eseguire comandi arbitrari oltre il confine del contenitore. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GDC (VMware). Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GDC (VMware).

Alta

GKE su AWS

Descrizione

Gravità

Un problema di sicurezza rilevato nei cluster Kubernetes potrebbe comportare l'esecuzione di codice remoto utilizzando un volume gitRepo. Se il repository Git è stato creato con intenti dannosi, un utente con la capacità di creare un pod e associare un volume gitRepo potrebbe eseguire comandi arbitrari oltre il confine del contenitore. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GKE su AWS. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su AWS.

Alta

GKE su Azure

Descrizione

Gravità

Un problema di sicurezza rilevato nei cluster Kubernetes potrebbe comportare l'esecuzione di codice remoto utilizzando un volume gitRepo. Se il repository Git è stato creato con intenti dannosi, un utente con la capacità di creare un pod e associare un volume gitRepo potrebbe eseguire comandi arbitrari oltre il confine del contenitore. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GKE su Azure. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su Azure.

Alta

GDC (bare metal)

Descrizione

Gravità

Un problema di sicurezza rilevato nei cluster Kubernetes potrebbe comportare l'esecuzione di codice remoto utilizzando un volume gitRepo. Se il repository Git è stato creato con intenti dannosi, un utente con la capacità di creare un pod e associare un volume gitRepo potrebbe eseguire comandi arbitrari oltre il confine del contenitore. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GDC (bare metal). Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GDC (bare metal).

Alta

GCP-2024-057

Pubblicato il: 03/10/2024
Aggiornato il: 19/11/2024
Riferimento: CVE-2024-45016

Aggiornamento del 19/11/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE.

Aggiornamento del 15/10/2024: sono state aggiunte le versioni delle patch per GDC (VMware). La gravità di GDC (VMware) è stata aggiornata da In attesa a Media. La gravità di GKE è stata aggiornata da Alta a Media.

GKE

Aggiornamento: 19/11/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-45016 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 19/11/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.27.16-gke.1784000 1.28.15-gke.1080000 1.29.10-gke.1155000 1.30.6-gke.1059000 1.31.2-gke.1354000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.16-gke.1478000 1.28.14-gke.1099000 1.29.9-gke.1177000 1.30.5-gke.1145000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Medio

GDC (VMware)

Aggiornamento: 15/10/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-45016 Che cosa devo fare? Aggiornamento del 15/10/2024: le seguenti versioni di GDC (VMware) sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster GDC (VMware) alle seguenti versioni o versioni successive: 1.30.100-gke.96 1.29.600-gke.109 1.28.1000-gke.59 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per il software GDC per VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

Medio

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-45016 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-45016 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GDC (bare metal)

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-45016 Che cosa devo fare? Non sono necessarie ulteriori azioni. Il software GDC per bare metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-056

Pubblicato il: 27-09-2024
Riferimento: CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177

GKE

Descrizione

Gravità

Nel sistema di stampa CUPS utilizzato da alcune distribuzioni Linux è stata scoperta una catena di vulnerabilità (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177) che potrebbe comportare l'esecuzione di codice da remoto. Un malintenzionato può sfruttare questa vulnerabilità se i servizi CUPS sono in ascolto sulla porta UDP 631 e possono connettersi. GKE non utilizza il sistema di stampa CUPS e non è interessato. Che cosa devo fare? Nessuna azione richiesta

Nessuno

GDC (VMware)

Descrizione

Gravità

Nel sistema di stampa CUPS utilizzato da alcune distribuzioni Linux è stata scoperta una catena di vulnerabilità (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177) che potrebbe comportare l'esecuzione di codice da remoto. Un malintenzionato può sfruttare questa vulnerabilità se i servizi CUPS sono in ascolto sulla porta UDP 631 e possono connettersi. Il software GDC per VMware non utilizza il sistema di stampa CUPS e non è interessato. Che cosa devo fare? Nessuna azione richiesta

Nessuno

GKE su AWS

Descrizione

Gravità

Nel sistema di stampa CUPS utilizzato da alcune distribuzioni Linux è stata scoperta una catena di vulnerabilità (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177) che potrebbe comportare l'esecuzione di codice da remoto. Un malintenzionato può sfruttare questa vulnerabilità se i servizi CUPS sono in ascolto sulla porta UDP 631 e possono connettersi. GKE su AWS non utilizza il sistema di stampa CUPS e non è interessato. Che cosa devo fare? Nessuna azione richiesta

Nessuno

GKE su Azure

Descrizione

Gravità

Nel sistema di stampa CUPS utilizzato da alcune distribuzioni Linux è stata scoperta una catena di vulnerabilità (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177) che potrebbe comportare l'esecuzione di codice da remoto. Un malintenzionato può sfruttare questa vulnerabilità se i servizi CUPS sono in ascolto sulla porta UDP 631 e possono connettersi. GKE su Azure non utilizza il sistema di stampa CUPS e non è interessato. Che cosa devo fare? Nessuna azione richiesta

Nessuno

GDC (bare metal)

Descrizione

Gravità

Nel sistema di stampa CUPS utilizzato da alcune distribuzioni Linux è stata scoperta una catena di vulnerabilità (CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177) che potrebbe comportare l'esecuzione di codice da remoto. Un malintenzionato può sfruttare questa vulnerabilità se i servizi CUPS sono in ascolto sulla porta UDP 631 e possono connettersi. Il software GDC per bare metal non è interessato perché non include un sistema operativo nella distribuzione. Che cosa devo fare? Nessuna azione richiesta

Nessuno

GCP-2024-054

Pubblicato il: 23-09-2024
Riferimento: CVE-2024-5321

GKE

Descrizione

Gravità

È stato rilevato un problema di sicurezza nei cluster Kubernetes con nodi Windows in cui BUILTIN\Users potrebbe essere in grado di leggere i log dei contenitori e AUTHORITY\Authenticated gli utenti potrebbero essere in grado di modificarli. È interessato qualsiasi ambiente Kubernetes con nodi Windows. Esegui kubectl get nodes -l kubernetes.io/os=windows per verificare se sono in uso eventuali nodi Windows. Versioni GKE interessate 1.27.15 e versioni precedenti 1.28.11 e versioni precedenti 1.29.6 e versioni precedenti 1.30.2 e versioni precedenti Che cosa devo fare? Le seguenti versioni di GKE sono state aggiornate per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire manualmente l'upgrade del cluster e dei pool di nodi a una delle seguenti versioni di GKE o successive: 1.27.16-gke.1008000 1.28.12-gke.1052000 1.29.7-gke.1008000 1.30.3-gke.1225000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di release. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente. Quali vulnerabilità vengono affrontate? CVE-2024-5321

Medio

GDC (VMware)

Descrizione

Gravità

È stato rilevato un problema di sicurezza nei cluster Kubernetes con nodi Windows in cui BUILTIN\Users potrebbe essere in grado di leggere i log dei contenitori e gli utenti AUTHORITY\Authenticated potrebbero essere in grado di modificarli. È interessato qualsiasi ambiente Kubernetes con nodi Windows. Esegui kubectl get nodes -l kubernetes.io/os=windows per verificare se sono presenti nodi Windows in uso. Che cosa devo fare? Le versioni delle patch per il software GDC per VMware sono in corso di elaborazione. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili. Quali vulnerabilità vengono affrontate? CVE-2024-5321

Medio

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS È stato rilevato un problema di sicurezza nei cluster Kubernetes con nodi Windows in cui BUILTIN\Users potrebbe essere in grado di leggere i log dei contenitori e AUTHORITY\Authenticated gli utenti potrebbero essere in grado di modificarli. I cluster GKE su AWS non supportano i nodi Windows e non sono interessati. Che cosa devo fare? Nessuna azione richiesta

Nessuno

GKE su Azure

Descrizione	Gravità
È stato rilevato un problema di sicurezza nei cluster Kubernetes con nodi Windows in cui BUILTIN\Users potrebbe essere in grado di leggere i log dei contenitori e AUTHORITY\Authenticated gli utenti potrebbero essere in grado di modificarli. I cluster GKE su Azure non supportano i nodi Windows e non sono interessati. Che cosa devo fare? Nessuna azione richiesta	Nessuno

GDC (bare metal)

Descrizione	Gravità
È stato rilevato un problema di sicurezza nei cluster Kubernetes con nodi Windows in cui BUILTIN\Users potrebbe essere in grado di leggere i log dei contenitori e AUTHORITY\Authenticated gli utenti potrebbero essere in grado di modificarli. Il software GDC per i cluster bare metal non supporta i nodi Windows e non è interessato. Che cosa devo fare? Nessuna azione richiesta	Nessuno

GCP-2024-050

Pubblicato il: 04-09-2024
Riferimento: CVE-2024-38063

GKE

Descrizione	Gravità
In Windows è stata scoperta una nuova vulnerabilità di esecuzione di codice remoto (CVE-2024-38063). Un malintenzionato potrebbe sfruttare questa vulnerabilità da remoto inviando pacchetti IPv6 appositamente creati a un host. Che cosa devo fare? GKE non supporta IPv6 su Windows e non è interessato da questa CVE. Non è richiesta alcuna azione da parte tua.	Nessuno

GDC (VMware)

Descrizione	Gravità
In Windows è stata scoperta una nuova vulnerabilità di esecuzione di codice remoto (CVE-2024-38063). Un malintenzionato potrebbe sfruttare questa vulnerabilità da remoto inviando pacchetti IPv6 appositamente creati a un host. Che cosa devo fare? Il software GDC per VMware non supporta IPv6 su Windows e non è interessato da questa CVE. Non è richiesta alcuna azione da parte tua.	Nessuno

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS In Windows è stata scoperta una nuova vulnerabilità di esecuzione di codice remoto (CVE-2024-38063). Un malintenzionato potrebbe sfruttare questa vulnerabilità da remoto inviando pacchetti IPv6 appositamente creati a un host. Che cosa devo fare? GKE su AWS non è interessato da questa CVE. Non è richiesta alcuna azione da parte tua.

Nessuno

GKE su Azure

Descrizione	Gravità
In Windows è stata scoperta una nuova vulnerabilità di esecuzione di codice remoto (CVE-2024-38063). Un malintenzionato potrebbe sfruttare questa vulnerabilità da remoto inviando pacchetti IPv6 appositamente creati a un host. Che cosa devo fare? GKE su Azure non è interessato da questa CVE. Non è richiesta alcuna azione da parte tua.	Nessuno

GDC (bare metal)

Descrizione	Gravità
In Windows è stata scoperta una nuova vulnerabilità di esecuzione di codice remoto (CVE-2024-38063). Un malintenzionato potrebbe sfruttare questa vulnerabilità da remoto inviando pacchetti IPv6 appositamente creati a un host. Che cosa devo fare? GDC (bare metal) non è interessato da questa CVE. Non è richiesta alcuna azione da parte tua.	Nessuno

GCP-2024-049

Pubblicato il: 21/08/2024
Aggiornato il: 01/11/2024
Riferimento: CVE-2024-36978

Aggiornamento del 01/11/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE.

Aggiornamento del 21/10/2024: sono state aggiunte le versioni delle patch e aggiornata la gravità per GDC (VMware).

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-36978 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 01/11/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.27.16-gke.1576000 1.28.14-gke.1175000 1.29.9-gke.1341000 1.30.5-gke.1355000 1.31.1-gke.1678000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.16-gke.1008000 1.28.12-gke.1052000 1.29.7-gke.1008000 1.30.3-gke.1225000 1.31.0-gke.1058000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GDC (VMware)

Aggiornamento: 21/10/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-36978 Che cosa devo fare? Aggiornamento del 21/10/2024: le seguenti versioni del software GDC per VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade del software GDC per i cluster VMware alle seguenti versioni o versioni successive: 1.28.1100-gke.91 1.30.200-gke.101 1.29.600-gke.109 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per il software GDC per VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-36978 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-36978 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GDC (bare metal)

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-36978 Che cosa devo fare? Non sono necessarie ulteriori azioni. Il software GDC per bare metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-048

Pubblicato il: 20/08/2024
Aggiornato il: 30/10/2024
Riferimento: CVE-2024-41009

Aggiornamento del 30/10/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE.

Aggiornamento del 25/10/2024: sono state aggiunte le versioni delle patch e aggiornata la gravità per GDC (VMware).

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-41009 I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 30/10/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.27.16-gke.1576000 1.28.14-gke.1175000 1.29.9-gke.1341000 1.30.5-gke.1355000 1.31.1-gke.1678000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.16-gke.1008000 1.28.12-gke.1052000 1.29.7-gke.1008000 1.30.3-gke.1225000 1.31.0-gke.1058000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GDC (VMware)

Aggiornamento: 25-10-2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-41009 Che cosa devo fare? Aggiornamento del 25/10/2024: le seguenti versioni del software GDC per VMware sono aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade del software GDC per i cluster VMware alle seguenti versioni o versioni successive: 1.29.700-gke.110 1.28.1100-gke.91 1.30.200-gke.101 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per il software GDC per VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-41009 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-41009 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GDC (bare metal)

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-41009 Che cosa devo fare? Non sono necessarie ulteriori azioni. Il software GDC per bare metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-047

Pubblicato il: 19/08/2024
Aggiornato il: 30/10/2024
Riferimento: CVE-2024-39503

Aggiornamento del 30/10/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE.

Aggiornamento del 21/10/2024: sono state aggiunte le versioni delle patch e aggiornata la gravità per GDC (VMware).

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-39503 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 30/10/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.27.16-gke.1576000 1.28.14-gke.1175000 1.29.9-gke.1341000 1.30.5-gke.1355000 1.31.1-gke.1678000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.15-gke.1125000 1.28.11-gke.1170000 1.29.6-gke.1137000 1.30.3-gke.1225000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GDC (VMware)

Aggiornamento: 21/10/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-39503 Che cosa devo fare? Aggiornamento del 21/10/2024: le seguenti versioni del software GDC per VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade del software GDC per i cluster VMware alle seguenti versioni o versioni successive: 1.30.200-gke.101 1.29.600-gke.109 1.28.1100-gke.91 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per il software GDC per VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-39503 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-39503 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GDC (bare metal)

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-39503 Che cosa devo fare? Non sono necessarie ulteriori azioni. Il software GDC per bare metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-045

Pubblicato il: 17/07/2024
Aggiornato il: 19/09/2024
Riferimento: CVE-2024-26925

Aggiornamento del 19/09/2024: sono state aggiunte le versioni delle patch per GDC (VMware).

Aggiornamento del 21/08/2024: sono state aggiunte le versioni patch per i pool di nodi Ubuntu su GKE.

GKE

Aggiornamento: 21/08/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26925 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 21/08/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.27.16-gke.1051000 1.28.12-gke.1052000 1.29.7-gke.1174000 1.30.3-gke.1225000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.14-gke.1093000 1.28.10-gke.1141000 1.29.5-gke.1192000 1.30.2-gke.1394000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GDC (VMware)

Aggiornamento: 19-09-2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26925 Che cosa devo fare? Aggiornamento del 19 settembre 2024: le seguenti versioni del software GDC per VMware sono aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade del software GDC per i cluster VMware alle seguenti versioni o versioni successive: 1.29.400 1.28.900 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per il software GDC per VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26925 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26925 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GDC (bare metal)

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26925 Che cosa devo fare? Non sono necessarie ulteriori azioni. Il software GDC per bare metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-044

Pubblicato il: 16/07/2024
Aggiornato il: 30/10/2024
Riferimento: CVE-2024-36972

Aggiornamento del 30/10/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE.

Aggiornamento del 21/10/2024: sono state aggiunte le versioni delle patch e aggiornata la gravità per GDC (VMware).

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-36972 I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 30/10/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.27.16-gke.1576000 1.28.14-gke.1175000 1.29.9-gke.1341000 1.30.5-gke.1355000 1.31.1-gke.1678000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.14-gke.1093000 1.28.10-gke.1141000 1.29.5-gke.1192000 1.30.2-gke.1394000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GDC (VMware)

Aggiornamento: 21/10/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-36972 Che cosa devo fare? Aggiornamento del 21/10/2024: le seguenti versioni del software GDC per VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade del software GDC per i cluster VMware alle seguenti versioni o versioni successive: 1.30.200-gke.101 1.29.600-gke.109 1.28.1100-gke.91 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per il software GDC per VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-36972 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-36972 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GDC (bare metal)

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-36972 Che cosa devo fare? Non sono necessarie ulteriori azioni. Il software GDC per bare metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-043

Pubblicato il: 16/07/2024
Aggiornato il: 02/10/2024
Riferimento: CVE-2024-26921

Aggiornamento del 02/10/2024: sono state aggiunte le versioni patch per i pool di nodi Ubuntu su GKE.

Aggiornamento del 20/09/2024: sono state aggiunte le versioni con patch per GDC (VMware).

GKE

Aggiornamento: 02/10/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26921 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 02/10/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.27.16-gke.1287000 1.28.13-gke.1042000 1.29.8-gke.1096000 1.30.4-gke.1476000 1.30.4-gke.1476000 1.31.0-gke.1577000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.26.15-gke.1360000 1.27.14-gke.1022000 1.28.9-gke.1209000 1.29.4-gke.1542000 1.30.2-gke.1394000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GDC (VMware)

Aggiornamento: 20/09/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26921 Che cosa devo fare? Aggiornamento del 20/09/2024: le seguenti versioni del software GDC per VMware sono aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade del software GDC per i cluster VMware alle seguenti versioni o versioni successive: 1.30.200 1.29.500 1.28.1000 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per il software GDC per VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26921 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26921 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GDC (bare metal)

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26921 Che cosa devo fare? Non sono necessarie ulteriori azioni. Il software GDC per bare metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-042

Pubblicato il: 15/07/2024
Aggiornato il: 18/07/2024
Riferimento: CVE-2024-26809

Aggiornamento del 18/07/2024: è stato chiarito che i cluster Autopilot nella configurazione predefinita non sono interessati.

GKE

Aggiornamento: 18/07/2024

Descrizione

Gravità

Aggiornamento del 18/07/2024: la versione originale di questo bollettino affermava erroneamente che i cluster Autopilot erano interessati. I cluster Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se impostate esplicitamente il profilo seccomp Unconfined o consentite la funzionalità CAP_NET_ADMIN. Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26809 I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.13-gke.1166000 1.28.9-gke.1209000 1.29.4-gke.1542000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.26.15-gke.1469000 1.27.14-gke.1100000 1.28.10-gke.1148000 1.29.6-gke.1038000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GDC (VMware)

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26809 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per il software GDC per VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26809 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26809 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GDC (bare metal)

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26809 Che cosa devo fare? Non sono necessarie ulteriori azioni. Il software GDC per bare metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-041

Pubblicato: 08/07/2024
Aggiornato: 16/09/2024
Riferimento: CVE-2023-52654, CVE-2023-52656

Aggiornamento del 16/09/2024: sono state aggiunte le versioni delle patch per GDC (VMware).

Aggiornamento del 19/07/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE.

GKE

Aggiornamento: 19/07/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-52654 CVE-2023-52656 I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 19/07/2024: le seguenti versioni di GKE contengono il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.26.15-gke.1469000 1.27.14-gke.1100000 1.28.10-gke.1148000 1.29.6-gke.1038000 1.30.2-gke.1394000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.26.15-gke.1300000 1.27.13-gke.1166000 1.28.9-gke.1209000 1.29.4-gke.1542000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GDC (VMware)

Aggiornamento: 16-09-2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-52654 CVE-2023-52656 Che cosa devo fare? Aggiornamento del 16/09/2024: le seguenti versioni del software GDC per VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade del software GDC per i cluster VMware alle seguenti versioni o versioni successive: 1.29.200 1.28.700 1.16.11 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per il software GDC per VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-52654 CVE-2023-52656 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-52654 CVE-2023-52656 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GDC (bare metal)

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-52654 CVE-2023-52656 Che cosa devo fare? Non sono necessarie ulteriori azioni. Il software GDC per bare metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-040

Pubblicato il: 01/07/2024
Aggiornato il: 11/07/2024
Riferimento: CVE-2024-6387

Aggiornamento del 11/07/2024: sono state aggiunte le versioni delle patch per il software GDC per VMware, GKE su AWS e GKE su Azure.

Aggiornamento del 03/07/2024: sono state aggiunte le versioni con patch per GKE

Aggiornamenti del 02/07/2024:

• È stato chiarito che i cluster Autopilot sono interessati e richiederanno un'azione da parte dell'utente.
• Sono state aggiunte valutazioni dell'impatto e passaggi di mitigazione per GDC (VMware), GKE su AWS e GKE su Azure.
• È stato corretto il bollettino sulla sicurezza del GDC (bare metal) per chiarire che il GDC (bare metal) non è direttamente coinvolto e che i clienti devono rivolgersi ai fornitori del sistema operativo per verificare la disponibilità di patch.

GKE

Aggiornamento: 03-07-2024

Descrizione

Gravità

Aggiornamento del 03/07/2024: è in corso un'implementazione accelerata che dovrebbe rendere disponibili le nuove versioni con patch in tutte le zone entro il 3 luglio 2024 alle ore 17:00 (ora legale del Pacifico USA e Canada) (UTC-7). Per ricevere una notifica non appena una patch è disponibile per il tuo cluster specifico, utilizza le notifiche del cluster. Aggiornamento del 02/07/2024: questa vulnerabilità interessa sia i cluster in modalità Autopilot sia quelli in modalità Standard. Ogni sezione che segue indica le modalità a cui si applica. Di recente è stata scoperta in OpenSSH una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387. La vulnerabilità sfrutta una race condition che potrebbe essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli attaccanti di ottenere l'accesso root ai nodi GKE. Al momento della pubblicazione, si ritiene che lo sfruttamento sia difficile e richieda diverse ore per ogni macchina attaccata. Non siamo a conoscenza di alcun tentativo di sfruttamento. Tutte le versioni supportate di Container-Optimized OS e delle immagini Ubuntu su GKE eseguono versioni di OpenSSH vulnerabili a questo problema. I cluster GKE con indirizzi IP dei nodi pubblici e SSH esposti a internet devono essere trattati con la massima priorità per la mitigazione. Il piano di controllo GKE non è vulnerabile a questo problema. Che cosa devo fare? Aggiornamento del 03/07/2024: versioni patch per GKE È in corso un'implementazione accelerata e si prevede che le nuove versioni con patch saranno disponibili in tutte le zone entro le ore 17:00 (ora legale del Pacifico USA e del Canada) del 3 luglio 2024 (UTC-7). L'upgrade dei cluster e dei nodi con l'upgrade automatico abilitato inizierà nel corso della settimana, ma a causa della gravità della vulnerabilità consigliamo di eseguire l'upgrade manualmente come segue per ricevere le patch il più rapidamente possibile. Per i cluster Autopilot e Standard, esegui l'upgrade del piano di controllo a una versione con patch. Inoltre, per i cluster in modalità Standard, esegui l'upgrade dei node pool a una versione con patch. I cluster Autopilot inizieranno a eseguire l'upgrade dei nodi in modo che corrispondano alla versione del piano di controllo il prima possibile. Le versioni di GKE con patch sono disponibili per ogni versione supportata per ridurre al minimo le modifiche necessarie per applicare la patch. Il numero di versione di ogni nuova versione è un incremento della cifra finale del numero di versione di una versione esistente corrispondente. Ad esempio, se utilizzi la versione 1.27.14-gke.1100000, esegui l'upgrade alla versione 1.27.14-gke.1100002 per applicare la correzione con la modifica più piccola possibile. Sono disponibili le seguenti versioni GKE con patch: 1.26.15-gke.1090004 1.26.15-gke.1191001 1.26.15-gke.1300001 1.26.15-gke.1320002 1.26.15-gke.1381001 1.26.15-gke.1390001 1.26.15-gke.1404002 1.26.15-gke.1469001 1.27.13-gke.1070002 1.27.13-gke.1166001 1.27.13-gke.1201002 1.27.14-gke.1022001 1.27.14-gke.1042001 1.27.14-gke.1059002 1.27.14-gke.1100002 1.27.15-gke.1012003 1.28.9-gke.1069002 1.28.9-gke.1209001 1.28.9-gke.1289002 1.28.10-gke.1058001 1.28.10-gke.1075001 1.28.10-gke.1089002 1.28.10-gke.1148001 1.28.11-gke.1019001 1.29.4-gke.1043004 1.29.5-gke.1060001 1.29.5-gke.1091002 1.29.6-gke.1038001 1.30.1-gke.1329003 1.30.2-gke.1023004 Per verificare se è disponibile una patch nella zona o nella regione del cluster, esegui il seguente comando: gcloud container get-server-config --location=LOCATION Sostituisci LOCATION con la tua zona o regione. Aggiornamento del 02/07/2024: l'upgrade dei cluster in modalità Autopilot e in modalità standard deve essere eseguito il prima possibile dopo che le versioni delle patch sono disponibili. Una versione di GKE con patch che include OpenSSH aggiornato sarà messa a disposizione il prima possibile. Questo bollettino verrà aggiornato quando saranno disponibili le patch. Per ricevere una notifica Pub/Sub quando è disponibile una patch per il tuo canale, abilita le notifiche del cluster. Ti consigliamo di seguire i passaggi riportati di seguito per verificare l'esposizione del tuo cluster e di applicare le mitigazioni descritte, se necessario. Determinare se i nodi hanno indirizzi IP pubblici Aggiornamento del 02/07/2024: questa sezione si applica sia ai cluster Autopilot che ai cluster Standard. Se un cluster viene creato con enable-private-nodes, i nodi saranno privati, il che mitiga la vulnerabilità rimuovendo l'esposizione a internet. Esegui il seguente comando per determinare se nel cluster sono abilitati i nodi privati: gcloud container clusters describe $CLUSTER_NAME \ --format="value(privateClusterConfig.enablePrivateNodes)" Se il valore restituito è True, tutti i nodi sono privati per questo cluster e la vulnerabilità è attenuata. Se il valore è vuoto o falso, continua ad applicare una delle misure di mitigazione riportate nelle sezioni seguenti. Per trovare tutti i cluster creati originariamente con nodi pubblici, utilizza questa query di Cloud Asset Inventory nel progetto o nell'organizzazione: SELECT resource.data.name AS cluster_name, resource.parent AS project_name, resource.data.privateClusterConfig.enablePrivateNodes FROM `container_googleapis_com_Cluster` WHERE resource.data.privateClusterConfig.enablePrivateNodes is null OR resource.data.privateClusterConfig.enablePrivateNodes = false Non consentire l'accesso SSH ai nodi del cluster Aggiornamento del 02/07/2024: questa sezione si applica sia ai cluster Autopilot che ai cluster Standard. La rete predefinita è precaricata con una regola firewall default-allow-ssh per consentire l'accesso SSH dall'internet pubblico. Per rimuovere questo accesso, puoi: Se vuoi, crea regole per consentire qualsiasi accesso SSH necessario dalle reti attendibili ai nodi GKE o ad altre VM Compute Engine del progetto. Disattiva la regola firewall predefinita con il seguente comando: gcloud compute firewall-rules update default-allow-ssh --disabled --project=$PROJECT Se hai creato altre regole firewall che potrebbero consentire SSH tramite TCP sulla porta 22, disabilitale o limita gli IP di origine alle reti attendibili. Verifica di non poter più accedere tramite SSH ai nodi del cluster da internet. Questa configurazione del firewall riduce la vulnerabilità. Convertire i pool di nodi pubblici in privati Aggiornamento del 02/07/2024: per i cluster Autopilot creati originariamente come cluster pubblici, puoi posizionare i tuoi carichi di lavoro su nodi privati utilizzando nodeSelectors. Tuttavia, i nodi Autopilot che eseguono carichi di lavoro di sistema su cluster inizialmente creati come cluster pubblici continueranno a essere nodi pubblici e devono essere protetti utilizzando le modifiche al firewall descritte nella sezione precedente. Per proteggere al meglio i cluster creati originariamente con nodi pubblici, ti consigliamo innanzitutto di non consentire SSH tramite il firewall come già descritto. Se non riesci a disattivare SSH tramite le regole firewall, puoi convertire i pool di nodi pubblici nei cluster GKE Standard in privati seguendo queste indicazioni per isolare i pool di nodi. Modificare la configurazione di SSHD Aggiornamento del 02/07/2024: questa sezione si applica solo ai cluster standard. I carichi di lavoro Autopilot non sono autorizzati a modificare la configurazione dei nodi. Se non è possibile applicare nessuna di queste misure di mitigazione, abbiamo anche pubblicato un daemonset che imposta SSHD LoginGraceTime su zero e riavvia il demone SSH. Questo daemonset può essere applicato al cluster per mitigare l'attacco. Tieni presente che questa configurazione potrebbe aumentare il rischio di attacchi di denial of service e causare problemi con l'accesso SSH legittimo. Questo daemonset deve essere rimosso dopo l'applicazione di una patch.

Critico

GDC (VMware)

Aggiornamento: 11/07/2024

Descrizione

Gravità

Aggiornamento del 11/07/2024: le seguenti versioni del software GDC per VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade della workstation di amministrazione, dei cluster di amministrazione e dei cluster utente (inclusi i pool di nodi) a una delle seguenti versioni o versioni successive. Per le istruzioni, consulta Eseguire l'upgrade di un cluster o di un pool di nodi. 1.16.10-gke.36 1.28.700-gke.151 1.29.200-gke.245 L'aggiornamento del 2 luglio 2024 di questo bollettino indicava erroneamente che tutte le versioni supportate delle immagini Ubuntu sul software GDC per VMware eseguono versioni di OpenSSH vulnerabili a questo problema. Le immagini Ubuntu sul software GDC per i cluster VMware versione 1.16 eseguono versioni di OpenSSH che non sono vulnerabili a questo problema. Le immagini Ubuntu nel software GDC per VMware 1.28 e 1.29 sono vulnerabili. Le immagini Container-Optimized OS su tutte le versioni supportate del software GDC per VMware sono vulnerabili a questo problema. Aggiornamento del 02/07/2024: tutte le versioni supportate di Container-Optimized OS e le immagini Ubuntu sul software GDC per VMware eseguono versioni di OpenSSH vulnerabili a questo problema. Il software GDC per i cluster VMware con indirizzi IP dei nodi pubblici e SSH esposti a internet deve essere trattato con la massima priorità per la mitigazione. Di recente è stata scoperta in OpenSSH una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387. La vulnerabilità sfrutta una race condition che potrebbe essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli utenti malintenzionati di ottenere l'accesso root ai nodi GKE. Al momento della pubblicazione, si ritiene che lo sfruttamento sia difficile e richieda diverse ore per ogni macchina attaccata. Non siamo a conoscenza di alcun tentativo di sfruttamento. Che cosa devo fare? Aggiornamento del 02/07/2024: verrà resa disponibile il prima possibile una versione del software GDC per VMware con patch che include OpenSSH aggiornato. Questo bollettino verrà aggiornato quando saranno disponibili le patch. Ti consigliamo di applicare le seguenti misure di mitigazione, se necessario. Non consentire l'accesso SSH ai nodi del cluster Puoi modificare la configurazione di rete dell'infrastruttura per non consentire la connettività SSH da fonti non attendibili, come internet pubblico. Modificare la configurazione di sshd Se non puoi applicare la mitigazione precedente, abbiamo pubblicato un DaemonSet che imposta LoginGraceTime di sshd su zero e riavvia il daemon SSH. Questo DaemonSet può essere applicato al cluster per mitigare l'attacco. Tieni presente che questa configurazione potrebbe aumentare il rischio di attacchi di denial of service e causare problemi con l'accesso SSH legittimo. Rimuovi questo DaemonSet dopo aver applicato una patch. Nota: sono in corso le versioni patch del software GDC per VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

Critico

GKE su AWS

Aggiornamento: 11/07/2024

Descrizione

Gravità

Aggiornamento del 11/07/2024: le seguenti versioni di GKE su AWS sono state aggiornate con il codice per correggere questa vulnerabilità: 1.27.14-gke.1200 1.28.10-gke.1300 1.29.5-gke.1100 Esegui l'upgrade del piano di controllo e dei pool di nodi GKE su AWS a una di queste versioni con patch o successive. Per istruzioni, consulta Eseguire l'upgrade della versione del cluster AWS e Aggiornare un node pool. Aggiornamento del 02/07/2024: tutte le versioni supportate delle immagini Ubuntu su GKE su AWS eseguono versioni di OpenSSH vulnerabili a questo problema. I cluster GKE su AWS con indirizzi IP dei nodi pubblici e SSH esposti a internet devono essere trattati con la massima priorità per la mitigazione. Di recente è stata scoperta in OpenSSH una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387. La vulnerabilità sfrutta una race condition che potrebbe essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli attaccanti di ottenere l'accesso root ai nodi GKE. Al momento della pubblicazione, si ritiene che lo sfruttamento sia difficile e richieda diverse ore per ogni macchina attaccata. Non siamo a conoscenza di alcun tentativo di sfruttamento. Che cosa devo fare? Aggiornamento del 02/07/2024: una versione di GKE su AWS con patch che include OpenSSH aggiornato sarà resa disponibile il prima possibile. Questo bollettino verrà aggiornato quando le patch saranno disponibili. Ti consigliamo di seguire i passaggi riportati di seguito per verificare l'esposizione del tuo cluster e applicare le mitigazioni descritte, se necessario. Determinare se i nodi hanno indirizzi IP pubblici GKE su AWS non esegue il provisioning di macchine con indirizzi IP pubblici o con regole firewall che consentono il traffico alla porta 22 per impostazione predefinita. Tuttavia, a seconda della configurazione della subnet, le macchine possono ottenere automaticamente un indirizzo IP pubblico durante il provisioning. Per verificare se i nodi sono stati provisionati con indirizzi IP pubblici, controlla la configurazione della subnet associata alla risorsa del pool di nodi AWS. Non consentire l'accesso SSH ai nodi del cluster Anche se GKE su AWS non consente il traffico sulla porta 22 su nessun nodo per impostazione predefinita, i clienti possono collegare gruppi di sicurezza aggiuntivi ai pool di nodi, attivando il traffico SSH in entrata. Ti consigliamo di rimuovere o limitare l'ambito delle regole corrispondenti dai gruppi di sicurezza forniti. Convertire i pool di nodi pubblici in privati Per proteggere al meglio i cluster con nodi pubblici, ti consigliamo innanzitutto di non consentire SSH tramite il gruppo di sicurezza, come descritto nella sezione precedente. Se non riesci a disattivare SSH tramite le regole del gruppo di sicurezza, puoi convertire i pool di nodi pubblici in privati disattivando l'opzione per assegnare automaticamente gli IP pubblici alle macchine all'interno di una sottorete e eseguendo nuovamente il provisioning del pool di nodi. Nota: sono in corso le versioni delle patch per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

Critico

GKE su Azure

Aggiornamento: 11/07/2024

Descrizione

Gravità

Aggiornamento del 11/07/2024: le seguenti versioni di GKE su Azure sono state aggiornate con il codice per correggere questa vulnerabilità: 1.27.14-gke.1200 1.28.10-gke.1300 1.29.5-gke.1100 Esegui l'upgrade del piano di controllo e dei node pool di GKE su Azure a una di queste versioni con patch o successive. Per istruzioni, consulta Eseguire l'upgrade della versione del cluster Azure e Aggiornare un node pool. Aggiornamento del 02/07/2024: tutte le versioni supportate delle immagini Ubuntu su GKE su Azure eseguono versioni di OpenSSH vulnerabili a questo problema. I cluster GKE su Azure con indirizzi IP dei nodi pubblici e SSH esposti a internet devono essere trattati con la massima priorità per la mitigazione. Di recente è stata scoperta in OpenSSH una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387. La vulnerabilità sfrutta una race condition che potrebbe essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli attaccanti di ottenere l'accesso root ai nodi GKE. Al momento della pubblicazione, si ritiene che lo sfruttamento sia difficile e richieda diverse ore per ogni macchina attaccata. Non siamo a conoscenza di alcun tentativo di sfruttamento. Che cosa devo fare? Aggiornamento del 02/07/2024: una versione di GKE su Azure con patch che include un OpenSSH aggiornato sarà resa disponibile il prima possibile. Questo bollettino verrà aggiornato quando le patch saranno disponibili. Ti consigliamo di seguire i passaggi riportati di seguito per verificare l'esposizione del tuo cluster e applicare le mitigazioni descritte, se necessario. Determinare se i nodi hanno indirizzi IP pubblici GKE su Azure non esegue il provisioning di alcuna macchina con indirizzi IP pubblici o con regole del firewall che consentono il traffico alla porta 22 per impostazione predefinita. Per esaminare la configurazione di Azure e verificare se sono presenti indirizzi IP pubblici configurati nel cluster GKE su Azure, esegui il seguente comando: az network public-ip list -g CLUSTER_RESOURCE_GROUP_NAME -o tsv Non consentire l'accesso SSH ai nodi del cluster Anche se GKE su Azure non consente il traffico sulla porta 22 su nessun nodo per impostazione predefinita, i clienti possono aggiornare le regole NetworkSecurityGroup nei pool di nodi, attivando il traffico SSH in entrata dalla rete internet pubblica. Ti consigliamo vivamente di esaminare i gruppi di sicurezza di rete (NSG) associati ai tuoi cluster Kubernetes. Se esiste una regola NSG che consente il traffico in entrata illimitato sulla porta 22 (SSH), esegui una delle seguenti operazioni: Rimuovi completamente la regola: se l'accesso SSH ai nodi del cluster non è richiesto da internet, rimuovi la regola per eliminare potenziali vettori di attacco. Restringi l'ambito della regola: limita l'accesso in entrata sulla porta 22 solo agli indirizzi IP o agli intervalli specifici che lo richiedono. In questo modo, la superficie esposta per i potenziali attacchi viene ridotta al minimo. Convertire i pool di nodi pubblici in privati Per proteggere al meglio i cluster con nodi pubblici, ti consigliamo innanzitutto di non consentire SSH tramite il gruppo di sicurezza, come descritto nella sezione precedente. Se non riesci a disattivare SSH tramite le regole del gruppo di sicurezza, puoi convertire i pool di nodi pubblici in privati rimuovendo gli indirizzi IP pubblici associati alle VM. Per rimuovere un indirizzo IP pubblico da una VM e sostituirlo con una configurazione di indirizzo IP privato, consulta Disassociare un indirizzo IP pubblico da una VM Azure. Impatto: tutte le connessioni esistenti che utilizzano l'indirizzo IP pubblico verranno interrotte. Assicurati di avere implementato metodi di accesso alternativi, ad esempio una VPN o Azure Bastion. Nota: le versioni delle patch per GKE su Azure sono in corso di elaborazione. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

Critico

GDC (bare metal)

Aggiornamento: 02/07/2024

Descrizione

Gravità

Aggiornamento del 02/07/2024: la versione originale di questo bollettino per il software GDC per bare metal indicava erroneamente che le versioni delle patch erano in corso. Il software GDC per bare metal non è direttamente interessato perché non gestisce il daemon o la configurazione SSH del sistema operativo. Le versioni delle patch sono quindi di responsabilità del fornitore del sistema operativo, come descritto nella sezione Che cosa devo fare?. Di recente è stata scoperta in OpenSSH una vulnerabilità di esecuzione di codice da remoto, CVE-2024-6387. La vulnerabilità sfrutta una race condition che potrebbe essere utilizzata per ottenere l'accesso a una shell remota, consentendo agli attaccanti di ottenere l'accesso root ai nodi GKE. Al momento della pubblicazione, si ritiene che lo sfruttamento sia difficile e richieda diverse ore per ogni macchina attaccata. Non siamo a conoscenza di alcun tentativo di sfruttamento. Che cosa devo fare? Aggiornamento del 02/07/2024: contatta il tuo fornitore di sistemi operativi per ottenere una patch per i sistemi operativi in uso con il software GDC per bare metal. Fino a quando non avrai applicato la patch del fornitore del sistema operativo, assicurati che le macchine raggiungibili pubblicamente non consentano connessioni SSH da internet. Se non è possibile, un'alternativa è impostare LoginGraceTime su zero e riavviare il server sshd: grep "^LoginGraceTime" /etc/ssh/sshd_config LoginGraceTime 0 Tieni presente che questa modifica della configurazione potrebbe aumentare il rischio di attacchi di denial of service e potrebbe causare problemi con l'accesso SSH legittimo. Testo originale del 01-07-2024 (vedi l'aggiornamento precedente del 02-07-2024 per una correzione): Nota: sono in corso le versioni patch del software GDC per bare metal. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

Critico

GCP-2024-039

Pubblicato il: 28/06/2024
Aggiornato il: 25/09/2024
Riferimento: CVE-2024-26923

Aggiornamento del 25/09/2024: sono state aggiunte le versioni con patch per GDC (VMware).

Aggiornamento del 20/08/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE.

GKE

Aggiornamento: 20/08/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26923 I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 20/08/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.27.16-gke.1051000 1.28.12-gke.1052000 1.29.7-gke.1174000 1.30.3-gke.1225000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.26.15-gke.1360000 1.27.14-gke.1022000 1.28.9-gke.1289000 1.29.5-gke.1010000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GDC (VMware)

Aggiornamento: 25-09-2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26923 Che cosa devo fare? Aggiornamento del 25/09/2024: le seguenti versioni del software GDC per VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade del software GDC per i cluster VMware alle seguenti versioni o versioni successive: 1.29.400 1.28.900 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per il software GDC per VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26923 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26923 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GDC (bare metal)

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26923 Che cosa devo fare? Non sono necessarie ulteriori azioni. Il software GDC per bare metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-038

Pubblicato il: 26/06/2024
Aggiornato il: 17/09/2024
Riferimento: CVE-2024-26924

Aggiornamento del 17/09/2024: sono state aggiunte le versioni delle patch per GDC (VMware).

Aggiornamento del 06/08/2024: sono state aggiunte le versioni patch per i pool di nodi Ubuntu su GKE.

GKE

Aggiornamento: 06-08-2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26924 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 06/08/2024: sono state aggiunte le versioni patch per i pool di nodi Ubuntu su GKE. Le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.27.15-gke.1252000 1.28.11-gke.1260000 1.29.6-gke.1326000 1.30.2-gke.1394003 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.26.15-gke.1360000 1.27.14-gke.1022000 1.28.9-gke.1289000 1.29.5-gke.1010000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GDC (VMware)

Aggiornamento: 17-09-2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26924 Che cosa devo fare? Aggiornamento del 17 settembre 2024: le seguenti versioni del software GDC per VMware sono aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade del software GDC per i cluster VMware alle seguenti versioni o versioni successive: 1.29.400 1.28.800 1.16.11 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per il software GDC per VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26924 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26924 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GDC (bare metal)

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26924 Che cosa devo fare? Non sono necessarie ulteriori azioni. Il software GDC per bare metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-036

Pubblicato il: 18/06/2024
Riferimento: CVE-2024-26584

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2024-26584 I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.28.9-gke.1209000 1.29.4-gke.1542000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2024-26584 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2024-26584 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2024-26584 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2024-26584 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-035

Pubblicato: 12/06/2024
Aggiornato: 18/07/2024
Riferimento: CVE-2024-26584

Aggiornamento del 18/07/2024: sono state aggiunte le versioni patch per i node pool Ubuntu su GKE e una versione patch per la versione 1.27 sui node pool Container-Optimized OS.

GKE

Aggiornamento: 18/07/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26584 I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 18/07/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.26.15-gke.1469000 1.27.14-gke.1100000 1.28.10-gke.1148000 1.29.6-gke.1038000 1.30.2-gke.1394000 La seguente versione di GKE è aggiornata con il codice per correggere questa vulnerabilità su Container-Optimized OS. Esegui l'upgrade dei pool di nodi Container-Optimized OS alla seguente versione della patch o a una successiva: 1.27.15-gke.1125000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.28.9-gke.1209000 1.29.4-gke.1542000 Le seguenti versioni secondarie sono interessate, ma non è disponibile una versione con patch. Aggiorneremo questo bollettino quando saranno disponibili le versioni con patch: 1,26 1,27 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26584 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26584 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26584 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26584 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-034

Pubblicato il: 11/06/2024
Aggiornato il: 10/07/2024
Riferimento: CVE-2024-26583

Aggiornamento del 10/07/2024: sono state aggiunte le versioni delle patch per i nodi Container-Optimized OS che eseguono le versioni secondarie 1.26 e 1.27 e le versioni delle patch per i nodi Ubuntu.

GKE

Aggiornamento: 10-07-2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2024-26583 I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 10/07/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni delle patch o successive: 1.26.15-gke.1444000 1.27.14-gke.1096000 1.28.10-gke.1148000 1.29.5-gke.1041001 1.30.1-gke.1156001 Per le versioni secondarie 1.26 e 1.27, esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.26.15-gke.1404002 1.27.14-gke.1059002 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.28.8-gke.1095000 1.29.3-gke.1093000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2024-26583 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2024-26583 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2024-26583 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2024-26583 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-033

Pubblicato il: 10/06/2024
Aggiornato il: 26/09/2024
Riferimento: CVE-2022-23222

Aggiornamento del 26/09/2024: sono state aggiunte le versioni con patch per GDC (VMware).

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2022-23222 I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.26.15-gke.1381000 1.27.14-gke.1022000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Aggiornamento: 26-09-2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2022-23222 Che cosa devo fare? Aggiornamento del 26/09/2024: le seguenti versioni del software GDC per VMware sono aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade del software GDC per i cluster VMware alle seguenti versioni o versioni successive: 1.28.900-gke.113 1.29.400-gke.8 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2022-23222 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2022-23222 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS: CVE-2022-23222 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-031

Pubblicato il: 24-05-2024
Riferimento: CVE-2024-4323

GKE

Descrizione	Gravità
In Fluent Bit è stata scoperta una nuova vulnerabilità (CVE-2024-4323) che potrebbe comportare l'esecuzione di codice da remoto. Sono interessate le versioni di Fluent Bit da 2.0.7 a 3.0.3. GKE non utilizza una versione vulnerabile di Fluent Bit e non è interessato. Che cosa devo fare? GKE non è interessato da questa vulnerabilità. Non è richiesta alcuna azione da parte tua.	Nessuno

GKE su VMware

Descrizione	Gravità
In Fluent Bit è stata scoperta una nuova vulnerabilità (CVE-2024-4323) che potrebbe comportare l'esecuzione di codice da remoto. Sono interessate le versioni di Fluent Bit da 2.0.7 a 3.0.3. GKE on VMware non utilizza una versione vulnerabile di Fluent Bit e non è interessato. Che cosa devo fare? GKE on VMware non è interessato da questa vulnerabilità. Non è richiesta alcuna azione da parte tua.	Nessuno

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS In Fluent Bit è stata scoperta una nuova vulnerabilità (CVE-2024-4323) che potrebbe comportare l'esecuzione di codice da remoto. Sono interessate le versioni di Fluent Bit da 2.0.7 a 3.0.3. GKE su AWS non utilizza una versione vulnerabile di Fluent Bit e non è interessato. Che cosa devo fare? GKE su AWS non è interessato da questa vulnerabilità. Non è richiesta alcuna azione da parte tua.

Nessuno

GKE su Azure

Descrizione	Gravità
In Fluent Bit è stata scoperta una nuova vulnerabilità (CVE-2024-4323) che potrebbe comportare l'esecuzione di codice da remoto. Sono interessate le versioni di Fluent Bit da 2.0.7 a 3.0.3. GKE su Azure non utilizza una versione vulnerabile di Fluent Bit e non è interessato. Che cosa devo fare? GKE su Azure non è interessato da questa vulnerabilità. Non è richiesta alcuna azione da parte tua.	Nessuno

GKE su Bare Metal

Descrizione

Gravità

In Fluent Bit è stata scoperta una nuova vulnerabilità (CVE-2024-4323) che potrebbe comportare l'esecuzione di codice da remoto. Sono interessate le versioni di Fluent Bit da 2.0.7 a 3.0.3. GKE on Bare Metal non utilizza una versione vulnerabile di Fluent Bit e non è interessato. Che cosa devo fare? GKE on Bare Metal non è interessato da questa vulnerabilità. Non è richiesta alcuna azione da parte tua.

Nessuno

GCP-2024-030

Pubblicato il: 15/05/2024
Aggiornato il: 18/07/2024
Riferimento: CVE-2023-52620

Aggiornamento del 18/07/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE.

GKE

Aggiornamento: 18/07/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-52620 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 18/07/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.26.15-gke.1469000 1.27.14-gke.1100000 1.28.10-gke.1148000 1.29.6-gke.1038000 1.30.2-gke.1394000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.13-gke.1166000 1.28.8-gke.1095000 1.29.3-gke.1093000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-52620 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-52620 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-52620 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-52620 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-029

Pubblicato il: 14/05/2024
Aggiornato il: 19/08/2024
Riferimento: CVE-2024-26642

Aggiornamento del 19/08/2024: sono state aggiunte le versioni con patch per i nodi Ubuntu.

GKE

Aggiornamento: 19/08/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26642 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 19/08/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.27.16-gke.1051000 1.28.12-gke.1052000 1.29.7-gke.1174000 1.30.3-gke.1225000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.13-gke.1166000 1.28.8-gke.1095000 1.29.3-gke.1093000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26642 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26642 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26642 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26642 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-028

Pubblicato il: 13/05/2024
Aggiornato il: 22/05/2024
Riferimento: CVE-2024-26581

Aggiornamento del 22/05/2024: sono state aggiunte le versioni con patch per i nodi Ubuntu.

GKE

Aggiornamento: 22/05/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26581 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 22/05/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.26.15-gke.1300000 1.27.13-gke.1011000 1.28.9-gke.1209000 1.29.4-gke.1542000 1.30.0-gke.1712000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.25.16-gke.1596000 1.26.14-gke.1076000 1.27.11-gke.1202000 1.28.8-gke.1095000 1.29.3-gke.1093000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.26.15-gke.1300000 1.28.9-gke.1209000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26581 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26581 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26581 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26581 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-027

Pubblicato il: 08/05/2024
Aggiornato il: 25/09/2024
Riferimento: CVE-2024-26808

Aggiornamento del 25/09/2024: sono state aggiunte le versioni con patch per GDC (VMware).

Aggiornamento del 15/05/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu GKE.

Aggiornamento del 09/05/2024: è stata corretta la gravità da Media ad Alta ed è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

GKE

Aggiornamento: 09-05-2024, 15-05-2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26808 Aggiornamento del 09/05/2024: gravità corretta da Media ad Alta. Il bollettino originale indicava che i cluster Autopilot erano interessati, ma non era corretto. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se impostate esplicitamente il profilo seccomp Unconfined o se consentite CAP_NET_ADMIN. I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 15 maggio 2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.26.15-gke.1323000 1.27.13-gke.1206000 1.28.10-gke.1000000 1.29.3-gke.1282004 1.30.0-gke.1584000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.8-gke.1067000 1.28.8-gke.1095000 1.29.3-gke.1093000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Aggiornamento: 25-09-2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26808 Che cosa devo fare? Aggiornamento del 25/09/2024: le seguenti versioni del software GDC per VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade del software GDC per i cluster VMware alle seguenti versioni o versioni successive: 1.28.600 1.16.9 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26808 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26808 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26808 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-026

Pubblicato il: 07/05/2024
Aggiornamento: 06/08/2024
Riferimento: CVE-2024-26643

Aggiornamento del 06/08/2024: sono state aggiunte le versioni patch per i pool di nodi Ubuntu su GKE.

Aggiornamento del 09/05/2024: la gravità è stata corretta da Media ad Alta.

GKE

Aggiornamento: 06-08-2024

Descrizione

Gravità

Aggiornamento del 09/05/2024: la gravità è stata corretta da Media ad Alta. Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26643 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 06/08/2024: sono state aggiunte le versioni patch per i pool di nodi Ubuntu su GKE. Le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu alle seguenti versioni o versioni successive: 1.27.15-gke.1252000 1.28.11-gke.1260000 1.29.6-gke.1326000 1.30.2-gke.1394003 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.8-gke.1067000 1.28.8-gke.1095000 1.29.3-gke.1093000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26643 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26643 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26643 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26643 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-024

Pubblicato il: 25/04/2024
Aggiornato il: 18/07/2024
Riferimento: CVE-2024-26585

Aggiornamento del 18/07/2024: sono state aggiunte le versioni delle patch per i pool di nodi Ubuntu su GKE.

GKE

Aggiornamento: 18/07/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26585 I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 18/07/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.26.15-gke.1469000 1.27.14-gke.1100000 1.28.10-gke.1148000 1.29.6-gke.1038000 1.30.2-gke.1394000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.25.16-gke.1759000 1.26.15-gke.1158000 1.27.12-gke.1190000 1.28.8-gke.1175000 1.29.3-gke.1282000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26585 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26585 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26585 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-26585 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-022

Pubblicato il: 03/04/2024
Aggiornamento: 17/07/2024
Riferimento: CVE-2023-45288

Aggiornamento del 17/07/2024: sono state aggiunte le versioni delle patch per GKE su VMware.
Aggiornamento del 09/07/2024: sono state aggiunte le versioni delle patch per GKE on Bare Metal.
Aggiornamento del 24/04/2024: sono state aggiunte le versioni con patch per GKE.

GKE

Aggiornamento: 24-04-2024

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità di tipo denial of service (DoS) (CVE-2023-45288) in più implementazioni del protocollo HTTP/2, incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS del piano di controllo di Google Kubernetes Engine (GKE). I cluster GKE con reti autorizzate configurate sono protetti limitando l'accesso alla rete, ma tutti gli altri cluster sono interessati. I cluster GKE Autopilot e Standard sono interessati. Nota: questo bollettino riguarda solo CVE-2023-45288 in quanto si applica al server API Kubernetes in esecuzione sul piano di controllo GKE. Altri componenti che utilizzano il pacchetto Go net/http2 e che potrebbero essere vulnerabili anche a CVE-2023-45288 sono a rischio minore in quanto non sono esposti pubblicamente. Gli aggiornamenti Golang per i componenti sui nodi GKE sono disponibili con una pianificazione regolare degli aggiornamenti. Che cosa devo fare? Aggiornamento del 24/04/2024: sono state aggiunte le versioni con patch per GKE. Le seguenti versioni di GKE includono le patch di sicurezza Golang per correggere questa vulnerabilità. Esegui l'upgrade dei cluster GKE alle seguenti versioni o versioni successive: 1.25.16-gke.1759000 1.26.15-gke.1158000 1.27.12-gke.1190000 1.28.8-gke.1175000 1.29.3-gke.1282000 Il progetto golang ha rilasciato patch il 3 aprile 2024. Aggiorneremo questo bollettino quando saranno disponibili le versioni di GKE che incorporano queste patch. Per richiedere una patch con tempistiche accelerate, contatta l'assistenza. Per mitigare il problema, configura le reti autorizzate per l'accesso al control plane: Puoi proteggere i tuoi cluster da questa classe di attacchi configurando le reti autorizzate. Segui le istruzioni per abilitare le reti autorizzate per un cluster esistente. Per scoprire di più su come le reti autorizzate controllano l'accesso al piano di controllo, consulta Come funzionano le reti autorizzate. Per visualizzare l'accesso di rete autorizzato predefinito, consulta la tabella nella sezione Accesso agli endpoint del piano di controllo. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità (CVE-2023-45288) consente a un utente malintenzionato di eseguire un attacco DoS sul piano di controllo di Kubernetes.

Alta

GKE su VMware

Aggiornamento: 17/07/2024

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità di tipo denial of service (DoS) (CVE-2023-45288) in più implementazioni del protocollo HTTP/2, incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS del piano di controllo di Google Kubernetes Engine (GKE). Che cosa devo fare? Aggiornamento del 17/07/2024: sono state aggiunte le versioni delle patch per GKE su VMware. Le seguenti versioni di GKE su VMware includono codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster GKE on VMware alle seguenti versioni o versioni successive: 1.29.0 1.28.500 1.16.8 Il progetto golang ha rilasciato patch il 3 aprile 2024. Aggiorneremo questo bollettino quando saranno disponibili le versioni di GKE on VMware che incorporano queste patch. Per richiedere una patch con tempistiche accelerate, contatta l'assistenza. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità (CVE-2023-45288) consente a un utente malintenzionato di eseguire un attacco DoS sul piano di controllo di Kubernetes.

Alta

GKE su AWS

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità di tipo denial of service (DoS) (CVE-2023-45288) in più implementazioni del protocollo HTTP/2, incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS del piano di controllo di Google Kubernetes Engine (GKE). Che cosa devo fare? Il progetto golang ha rilasciato patch il 3 aprile 2024. Aggiorneremo questo bollettino quando saranno disponibili le versioni di GKE su AWS che incorporano queste patch. Per richiedere una patch con tempistiche accelerate, contatta l'assistenza. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità (CVE-2023-45288) consente a un utente malintenzionato di eseguire un attacco DoS sul piano di controllo di Kubernetes.

Alta

GKE su Azure

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità di tipo denial of service (DoS) (CVE-2023-45288) in più implementazioni del protocollo HTTP/2, incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS del piano di controllo di Google Kubernetes Engine (GKE). Che cosa devo fare? Il progetto golang ha rilasciato patch il 3 aprile 2024. Aggiorneremo questo bollettino quando saranno disponibili le versioni di GKE su Azure che incorporano queste patch. Per richiedere una patch con tempistiche accelerate, contatta l'assistenza. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità (CVE-2023-45288) consente a un utente malintenzionato di eseguire un attacco DoS sul piano di controllo di Kubernetes.

Alta

GKE su Bare Metal

Aggiornamento: 09/07/2024

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità di tipo denial of service (DoS) (CVE-2023-45288) in più implementazioni del protocollo HTTP/2, incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS del piano di controllo di Google Kubernetes Engine (GKE). Che cosa devo fare? Aggiornamento del 09/07/2024: sono state aggiunte le versioni delle patch per GKE on Bare Metal. Le seguenti versioni di GKE on Bare Metal includono il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster GKE on Bare Metal alle seguenti versioni o versioni successive: 1.29.100 1.28.600 1.16.9 Il progetto golang ha rilasciato patch il 3 aprile 2024. Aggiorneremo questo bollettino quando saranno disponibili le versioni di GKE on Bare Metal che incorporano queste patch. Per richiedere una patch con tempistiche accelerate, contatta l'assistenza. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità (CVE-2023-45288) consente a un utente malintenzionato di eseguire un attacco DoS sul piano di controllo di Kubernetes.

Alta

GCP-2024-018

Pubblicato il: 12/03/2024
Aggiornato il: 06/05/2024
Riferimento: CVE-2024-1085

Aggiornamento del 06/05/2024: sono state aggiunte le versioni delle patch per i node pool GKE Ubuntu e un elemento di riga orizzontale aggiuntivo è stato rimosso dall'aggiornamento del 04/04/2024.

Aggiornamento del 04/04/2024: sono state corrette le versioni minime per i pool di nodi GKE Container-Optimized OS.

GKE

Aggiornamento: 06/05/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-1085 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 06/05/2024: le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità in Ubuntu. Esegui l'upgrade dei node pool Ubuntu alle seguenti versioni o versioni successive. 1.26.15-gke.1158000 1.27.12-gke.1190000 1.28.8-gke.1175000 1.29.3-gke.1093000 Aggiornamento del 04/04/2024: sono state corrette le versioni minime per i pool di nodi GKE Container-Optimized OS. Le versioni minime di GKE contenenti le correzioni di Container-Optimized OS elencate in precedenza non erano corrette. Le seguenti versioni di GKE sono aggiornate con il codice per correggere questa vulnerabilità su Container-Optimized OS. Esegui l'upgrade dei pool di nodi Container-Optimized OS alle seguenti versioni o versioni successive: 1.25.16-gke.1520000 1.26.13-gke.1221000 1.27.10-gke.1243000 1.28.8-gke.1083000 1.29.3-gke.1054000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.25.16-gke.1518000 1.26.13-gke.1219000 1.27.10-gke.1240000 1.28.6-gke.1433000 1.29.1-gke.1716000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-1085 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-1085 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-1085 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-1085 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-017

Pubblicato il: 06/03/2024
Riferimento: CVE-2023-3611

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3611 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.24.14-gke.1027001 1.25.10-gke.1027001 1.26.5-gke.1021001 1.27.3-gke.1001002 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.24.14-gke.1027001 1.25.10-gke.1027001 1.26.5-gke.1021001 1.27.3-gke.1001002 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3611 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3611 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3611 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3611 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-014

Pubblicato il: 26/02/2024
Riferimento: CVE-2023-3776

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3776 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.24.14-gke.1027001 1.25.10-gke.1027001 1.26.5-gke.1014001 1.27.3-gke.1001002 1.28.0-gke.100 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.24.14-gke.1027001 1.25.10-gke.1027001 1.26.5-gke.1021001 1.27.3-gke.1001002 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3776 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3776 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3776 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3776 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-013

Pubblicato il: 23/02/2024
Riferimento: CVE-2023-3610

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3610 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.3-gke.1001002 1.28.0-gke.100 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.24.14-gke.1027001 1.25.10-gke.1027001 1.26.5-gke.1021001 1.27.3-gke.1001002 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3610 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3610 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3610 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-3610 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-012

Pubblicato il: 20/02/2024
Riferimento: CVE-2024-0193

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-0193 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.10-gke.1149000 1.28.6-gke.1274000 1.29.1-gke.1388000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.25.16-gke.1412001 1.26.6-gke.1017002 1.27.10-gke.1055001 1.28.6-gke.1276000 1.29.1-gke.1392000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-0193 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-0193 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-0193 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2024-0193 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-011

Pubblicato il: 15/02/2024
Riferimento: CVE-2023-6932

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-6932 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.24.17-gke.2364001 1.25.16-gke.1229000 1.26.6-gke.1017002 1.27.3-gke.1001003 1.28.5-gke.1194000 1.29.0-gke.1340000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.25.16-gke.1412001 1.26.6-gke.1017002 1.27.10-gke.1055001 1.28.6-gke.1276000 1.29.1-gke.1221000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-6932 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-6932 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-6932 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS: CVE-2023-6932 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-010

Pubblicato il: 14/02/2024
Aggiornato il: 17/04/2024
Riferimento: CVE-2023-6931

Aggiornamento del 17/04/2024: sono state aggiunte le versioni delle patch per GKE su VMware.

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-6931 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.24.17-gke.2364001 1.25.16-gke.1229000 1.26.6-gke.1017002 1.27.3-gke.1001003 1.28.5-gke.1194000 1.29.0-gke.1340000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.25.16-gke.1412001 1.26.6-gke.1017002 1.27.10-gke.1055001 1.28.6-gke.1276000 1.29.1-gke.1221000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Aggiornamento: 17/04/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-6931 Che cosa devo fare? Aggiornamento del 17/04/2024: sono state aggiunte le versioni delle patch per GKE su VMware. Le seguenti versioni di GKE on VMware sono aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster alle seguenti versioni o versioni successive: 1.28.200 1.16.6 1.15.10 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-6931 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-6931 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-6931 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-008

Pubblicato il: 12/02/2024
Riferimento: CVE-2023-5528

GKE

Descrizione

Gravità

CVE-2023-5528 consente a un malintenzionato di creare pod e volumi permanenti sui nodi Windows in modo da consentire l'escalation dei privilegi amministrativi su questi nodi. I cluster GKE Standard che eseguono i nodi Windows Server e utilizzano un plug-in di archiviazione in-tree potrebbero essere interessati. I cluster GKE Autopilot e i pool di nodi GKE che utilizzano GKE Sandbox non sono interessati perché non supportano i nodi Windows Server. Che cosa devo fare? Determina se sono presenti nodi Windows Server in uso nei tuoi cluster: kubectl get nodes -l kubernetes.io/os=windows Controlla i log di controllo per verificare la presenza di prove di sfruttamento. È possibile eseguire il controllo dei log di controllo di Kubernetes per determinare se questa vulnerabilità viene sfruttata. Gli eventi di creazione di volumi permanenti con campi del percorso locale contenenti caratteri speciali sono un'indicazione forte di sfruttamento. Aggiorna il cluster GKE e i pool di nodi a una versione con patch. Le seguenti versioni di GKE sono state aggiornate per correggere questa vulnerabilità. Anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire l'upgrade manuale del cluster e dei pool di nodi Windows Server a una delle seguenti versioni GKE o successive: 1.24.17-gke.6100 1.25.15-gke.2000 1.26.10-gke.2000 1.27.7-gke.2000 1.28.3-gke.1600 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente. Quali vulnerabilità vengono affrontate da questa patch? CVE-2023-5528 consente a un malintenzionato di creare pod e volumi permanenti sui nodi Windows in modo da consentire l'escalation dei privilegi amministrativi su questi nodi.

Alta

GKE su VMware

Descrizione

Gravità

CVE-2023-5528 consente a un malintenzionato di creare pod e volumi permanenti sui nodi Windows in modo da consentire l'escalation dei privilegi amministrativi su questi nodi. I cluster GKE on VMware che eseguono i nodi Windows Server e utilizzano un plug-in di archiviazione in-tree potrebbero essere interessati. Che cosa devo fare? Determina se sono presenti nodi Windows Server in uso nei tuoi cluster: kubectl get nodes -l kubernetes.io/os=windows Controlla i log di controllo per verificare la presenza di prove di sfruttamento. È possibile eseguire il controllo dei log di controllo di Kubernetes per determinare se questa vulnerabilità viene sfruttata. Gli eventi di creazione di volumi permanenti con campi del percorso locale contenenti caratteri speciali sono un'indicazione forte di sfruttamento. Aggiorna il cluster GKE on VMware e i pool di nodi a una versione con patch. Le seguenti versioni di GKE on VMware sono state aggiornate per correggere questa vulnerabilità. Anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire l'upgrade manuale del cluster e dei pool di nodi Windows Server a una delle seguenti versioni GKE su VMware o successive: 1.28.100-gke.131 1.16.5-gke.28 1.15.8-gke.41 Quali vulnerabilità vengono affrontate da questa patch? CVE-2023-5528 consente a un malintenzionato di creare pod e volumi permanenti sui nodi Windows in modo da consentire l'escalation dei privilegi amministrativi su questi nodi.

Alta

GKE su AWS

Descrizione	Gravità
CVE-2023-5528 consente a un malintenzionato di creare pod e volumi permanenti sui nodi Windows in modo da consentire l'escalation dei privilegi amministrativi su questi nodi. I cluster GKE su AWS non sono interessati. Che cosa devo fare? Nessuna azione richiesta	Nessuno

GKE su Azure

Descrizione	Gravità
CVE-2023-5528 consente a un malintenzionato di creare pod e volumi permanenti sui nodi Windows in modo da consentire l'escalation dei privilegi amministrativi su questi nodi. I cluster GKE su Azure non sono interessati. Che cosa devo fare? Nessuna azione richiesta	Nessuno

GKE su Bare Metal

Descrizione	Gravità
CVE-2023-5528 consente a un malintenzionato di creare pod e volumi permanenti sui nodi Windows in modo da consentire l'escalation dei privilegi amministrativi su questi nodi. I cluster GKE on Bare Metal non sono interessati. Che cosa devo fare? Nessuna azione richiesta	Nessuno

GCP-2024-005

Pubblicato il: 31/01/2024
Aggiornamento: 06/05/2024
Riferimento: CVE-2024-21626

Aggiornamento del 06/05/2024: sono state aggiunte le versioni delle patch per GKE su AWS e GKE su Azure.
Aggiornamento del 02/04/2024: sono state aggiunte le versioni delle patch per GKE on Bare Metal
Aggiornamento del 06/03/2024: sono state aggiunte le versioni delle patch per GKE on VMware
Aggiornamento del 28/02/2024: sono state aggiunte le versioni delle patch per Ubuntu
Aggiornamento del 15/02/2024: è stato chiarito che le versioni delle patch Ubuntu 1.25 e 1.26 nell'aggiornamento del 14/02/2024 potrebbero causare nodi non operativi.
Aggiornamento del 14/02/2024: sono state aggiunte le versioni delle patch per Ubuntu
Aggiornamento del 06/02/2024: sono state aggiunte le versioni delle patch per Container-Optimized OS.

GKE

Aggiornamento: 06/03/2024

Descrizione

Gravità

In runc è stata scoperta una vulnerabilità di sicurezza (CVE-2024-21626) in cui un utente con l'autorizzazione per creare pod su Container-Optimized OS e nodi Ubuntu potrebbe riuscire ad accedere completamente al file system del nodo. I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 28/02/2024: le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità in Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.25.16-gke.1537000 1.26.14-gke.1006000 Aggiornamento del 15/02/2024: a causa di un problema, le seguenti versioni delle patch di Ubuntu dell'aggiornamento del 14/02/2024 potrebbero causare il passaggio dei nodi a uno stato non corretto. Non eseguire l'upgrade alle seguenti versioni delle patch. Aggiorneremo questo bollettino quando saranno disponibili patch più recenti per Ubuntu per le versioni 1.25 e 1.26. 1.25.16-gke.1497000 1.26.13-gke.1189000 Se hai già eseguito l'upgrade a una di queste versioni con patch, esegui il downgrade manuale del tuo pool di nodi a una versione precedente nel tuo canale di rilascio. Aggiornamento del 14/02/2024: le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità in Ubuntu. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.25.16-gke.1497000 1.26.13-gke.1189000 1.27.10-gke.1207000 1.28.6-gke.1369000 1.29.1-gke.1575000 Aggiornamento del 06/02/2024: le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità in Container-Optimized OS. Per motivi di sicurezza, anche se hai attivato l'upgrade automatico dei nodi, ti consigliamo di eseguire manualmente l'upgrade del cluster e dei pool di nodi con Container-Optimized OS a una delle seguenti versioni GKE o successive: 1.25.16-gke.1460000 1.26.13-gke.1144000 1.27.10-gke.1152000 1.28.6-gke.1289000 1.29.1-gke.1425000 Nota: aggiorneremo questo bollettino quando saranno disponibili le versioni con patch di Ubuntu. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente. Stiamo aggiornando GKE con il codice per correggere questa vulnerabilità. Aggiorneremo questo bollettino quando saranno disponibili le versioni con patch. Quali vulnerabilità vengono affrontate da questa patch? runc è uno strumento di basso livello per la generazione ed esecuzione di container Linux utilizzati nei pod Kubernetes. Nelle versioni di runc precedenti alle patch rilasciate in questo bollettino sulla sicurezza, diversi descrittori file sono stati inavvertitamente divulgati nel processo runc init che viene eseguito all'interno di un contenitore. runc inoltre non ha verificato che la directory di lavoro finale di un contenitore fosse all'interno dello spazio dei nomi mount del contenitore. Un'immagine container dannosa o un utente con l'autorizzazione a eseguire pod arbitrari potrebbe utilizzare una combinazione di descrittori file trapelati e della mancanza di convalida della directory di lavoro per ottenere l'accesso allo spazio dei nomi di montaggio dell'host di un nodo e accedere all'intero file system dell'host e sovrascrivere binari arbitrari sul nodo.

Alta

GKE su VMware

Aggiornamento: 06/03/2024

Descrizione

Gravità

In runc è stata scoperta una vulnerabilità di sicurezza (CVE-2024-21626) in cui un utente con l'autorizzazione per creare pod su Container-Optimized OS e nodi Ubuntu potrebbe riuscire ad accedere completamente al file system del nodo. Che cosa devo fare? Aggiornamento del 06/03/2024: le seguenti versioni di GKE su VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster alle seguenti versioni o versioni successive: 1.28.200 1.16.6 1.15.9 Le versioni delle patch e una valutazione della gravità per GKE on VMware sono in corso. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili. Quali vulnerabilità vengono affrontate da questa patch? runc è uno strumento di basso livello per la generazione ed esecuzione di container Linux utilizzati nei pod Kubernetes. Nelle versioni di runc precedenti alle patch rilasciate in questo bollettino sulla sicurezza, diversi descrittori file sono stati inavvertitamente divulgati nel processo runc init in esecuzione all'interno di un contenitore. runc inoltre non ha verificato che la directory di lavoro finale di un contenitore fosse all'interno dello spazio dei nomi di montaggio del contenitore. Un'immagine container dannosa o un utente con l'autorizzazione a eseguire pod arbitrari potrebbe utilizzare una combinazione di descrittori file trapelati e della mancanza di convalida della directory di lavoro per ottenere l'accesso allo spazio dei nomi di montaggio dell'host di un nodo e accedere all'intero file system dell'host e sovrascrivere binari arbitrari sul nodo.

Alta

GKE su AWS

Aggiornamento: 06/05/2024

Descrizione

Gravità

In runc è stata scoperta una vulnerabilità di sicurezza (CVE-2024-21626) in cui un utente con l'autorizzazione per creare pod su Container-Optimized OS e nodi Ubuntu potrebbe riuscire ad accedere completamente al file system del nodo. Che cosa devo fare? Aggiornamento del 06/05/2024: le seguenti versioni di GKE su AWS sono state aggiornate con patch per CVE-2024-21626: 1.28.5-gke.1200 1.27.10-gke.500 1.26.13-gke.400 Le versioni delle patch e una valutazione della gravità per GKE su AWS sono in corso. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili. Quali vulnerabilità vengono affrontate da questa patch? runc è uno strumento di basso livello per la generazione ed esecuzione di container Linux utilizzati nei pod Kubernetes. Nelle versioni di runc precedenti alle patch rilasciate in questo bollettino sulla sicurezza, diversi descrittori file sono stati inavvertitamente divulgati nel processo runc init in esecuzione all'interno di un contenitore. runc inoltre non ha verificato che la directory di lavoro finale di un contenitore fosse all'interno dello spazio dei nomi di montaggio del contenitore. Un'immagine container dannosa o un utente con l'autorizzazione a eseguire pod arbitrari potrebbe utilizzare una combinazione di descrittori file trapelati e della mancanza di convalida della directory di lavoro per ottenere l'accesso allo spazio dei nomi di montaggio dell'host di un nodo e accedere all'intero file system dell'host e sovrascrivere binari arbitrari sul nodo.

Alta

GKE su Azure

Aggiornamento: 06/05/2024

Descrizione

Gravità

In runc è stata scoperta una vulnerabilità di sicurezza (CVE-2024-21626) in cui un utente con l'autorizzazione per creare pod su Container-Optimized OS e nodi Ubuntu potrebbe riuscire ad accedere completamente al file system del nodo. Che cosa devo fare? Aggiornamento del 06/05/2024: le seguenti versioni di GKE su Azure sono state aggiornate con patch per CVE-2024-21626: 1.28.5-gke.1200 1.27.10-gke.500 1.26.13-gke.400 Le versioni delle patch e una valutazione della gravità per GKE su Azure sono in corso. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili. Quali vulnerabilità vengono affrontate da questa patch? runc è uno strumento di basso livello per la generazione ed esecuzione di container Linux utilizzati nei pod Kubernetes. Nelle versioni di runc precedenti alle patch rilasciate in questo bollettino sulla sicurezza, diversi descrittori file sono stati inavvertitamente divulgati nel processo runc init in esecuzione all'interno di un contenitore. runc inoltre non ha verificato che la directory di lavoro finale di un contenitore fosse all'interno dello spazio dei nomi di montaggio del contenitore. Un'immagine container dannosa o un utente con l'autorizzazione a eseguire pod arbitrari potrebbe utilizzare una combinazione di descrittori file trapelati e della mancanza di convalida della directory di lavoro per ottenere l'accesso allo spazio dei nomi di montaggio dell'host di un nodo e accedere all'intero file system dell'host e sovrascrivere binari arbitrari sul nodo.

Alta

GKE su Bare Metal

Aggiornamento: 02/04/2024

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2024-21626, in runc in cui un utente con l'autorizzazione per creare pod potrebbe essere in grado di ottenere l'accesso completo al file system del nodo. Che cosa devo fare? Aggiornamento del 02/04/2024: le seguenti versioni di GKE on Bare Metal sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster alle seguenti versioni o versioni successive: 1.28.200-gke.118 1.16.6 1.15.10 Le versioni delle patch e una valutazione della gravità per GKE on Bare Metal sono in corso. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili. Quali vulnerabilità vengono affrontate da questa patch? runc è uno strumento di basso livello per la generazione ed esecuzione di container Linux utilizzati nei pod Kubernetes. Nelle versioni di runc precedenti alle patch rilasciate in questo bollettino sulla sicurezza, diversi descrittori file sono stati inavvertitamente divulgati nel processo runc init in esecuzione all'interno di un contenitore. runc inoltre non ha verificato che la directory di lavoro finale di un contenitore fosse all'interno dello spazio dei nomi di montaggio del contenitore. Un'immagine container dannosa o un utente con l'autorizzazione a eseguire pod arbitrari potrebbe utilizzare una combinazione di descrittori file trapelati e della mancanza di convalida della directory di lavoro per ottenere l'accesso allo spazio dei nomi di montaggio dell'host di un nodo e accedere all'intero file system dell'host e sovrascrivere binari arbitrari sul nodo.

Alta

GCP-2024-004

Pubblicato il: 24/01/2024
Aggiornato il: 07/02/2024
Riferimento: CVE-2023-6817

Aggiornamento del 07/02/2024: sono state aggiunte le versioni con patch per Ubuntu.

GKE

Aggiornamento: 07/02/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-6817 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 07/02/2024: sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.25.16-gke.1458000 1.26.13-gke.1143000 1.27.10-gke.1152000 1.28.6-gke.1276000 1.29.1-gke.1221000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.25.16-gke.1229000 1.26.12-gke.1087000 1.27.3-gke.1001003 1.28.5-gke.1194000 1.29.0-gke.1340000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-6817 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-6817 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-6817 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-6817 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2024-003

Pubblicato: 19/01/2024
Aggiornato: 26/01/2024
Aggiornamento del 26/01/2024: è stato chiarito il numero di cluster interessati e le azioni intraprese per contribuire a mitigare l'impatto.

GKE

Aggiornamento: 26/01/2024

Descrizione

Gravità

Aggiornamento del 26/01/2024: è stata pubblicata una ricerca sulla sicurezza che ha rilevato un numero limitato di cluster GKE con una configurazione errata creata dal cliente che coinvolge il gruppo system:authenticated. Il post del blog del ricercatore fa riferimento a 1300 cluster con alcune associazioni configurate in modo errato e 108 con privilegi elevati. Abbiamo lavorato a stretto contatto con i clienti interessati per informarli e aiutarli a rimuovere le associazioni configurate in modo errato. Abbiamo identificato diversi cluster in cui gli utenti hanno concesso i privilegi Kubernetes al gruppo system:authenticated, che include tutti gli utenti con un Account Google. Questi tipi di associazioni non sono consigliati, in quanto violano il principio del privilegio minimo e concedono l'accesso a gruppi di utenti molto grandi. Consulta le indicazioni riportate nella sezione "Cosa devo fare" per istruzioni su come trovare questi tipi di associazioni. Di recente, un ricercatore di sicurezza ha segnalato la presenza di cluster con configurazioni errate del RBAC tramite il nostro programma di segnalazione delle vulnerabilità. L'approccio di Google all'autenticazione è rendere l'autenticazione su Google Cloud e GKE il più semplice e sicuro possibile senza aggiungere passaggi di configurazione complessi. L'autenticazione ci dice solo chi è l'utente, mentre l'autorizzazione è dove viene stabilito l'accesso. Pertanto, il gruppo system:authenticated in GKE che contiene tutti gli utenti autenticati tramite il provider di identità di Google funziona come previsto e allo stesso modo dell'identificatore IAM allAuthenticatedUsers. Tenendo presente questo, abbiamo adottato diversi passaggi per ridurre il rischio che gli utenti commisero errori di autorizzazione con gli utenti e i gruppi integrati di Kubernetes, tra cui system:anonymous, system:authenticated e system:unauthenticated. Tutti questi utenti/gruppi rappresentano un rischio per il cluster se vengono concesse le autorizzazioni. Abbiamo discusso di alcune attività degli attaccanti che hanno come target le configurazioni errate del RBAC e delle difese disponibili al KubeCon di novembre 2023. Per proteggere gli utenti da errori di autorizzazione accidentali con questi gruppi/utenti di sistema, abbiamo: Per impostazione predefinita, le nuove associazioni del ClusterRole cluster-admin ad accesso altamente privilegiato all'utente system:anonymous, al gruppo system:authenticated o al gruppo system:unauthenticated sono state bloccate nella versione 1.28 di GKE. Regole di rilevamento integrate in Event Threat Detection (GKE_CONTROL_PLANE_CREATE_SENSITIVE_BINDING) nell'ambito di Security Command Center. Regole di prevenzione configurabili integrate in Policy Controller con K8sRestrictRoleBindings. Sono state inviate notifiche via email a tutti gli utenti GKE con associazioni a questi utenti/gruppi chiedendo loro di rivedere la configurazione. Abbiamo creato funzionalità di autorizzazione di rete e fornito consigli per limitare l'accesso alla rete ai cluster come primo livello di difesa. Abbiamo sensibilizzato su questo problema tramite un intervento a Kubecon a novembre 2023. I cluster che applicano limitazioni per le reti autorizzate hanno un primo livello di difesa: non possono essere attaccati direttamente da internet. Tuttavia, consigliamo comunque di rimuovere queste associazioni per una difesa in profondità e per proteggerti da errori nei controlli di rete. Tieni presente che esistono diversi casi in cui le associazioni a gruppi o utenti di sistema Kubernetes vengono utilizzate intenzionalmente: ad esempio per il bootstrap di kubeadm, la dashboard di Rancher e i segreti sigillati di Bitnami. Abbiamo verificato con i fornitori di software che queste associazioni funzionano come previsto. Stiamo studiando dei modi per proteggerci ulteriormente dalla configurazione errata del RBAC degli utenti con questi utenti/gruppi di sistema tramite prevenzione e rilevamento. Che cosa devo fare? Per impedire eventuali nuove associazioni di cluster-admin a Utente system:anonymous, Gruppo system:authenticated o Gruppo system:unauthenticated, gli utenti possono eseguire l'upgrade a GKE 1.28 o versioni successive (note di rilascio), in cui la creazione di queste associazioni è bloccata. Le associazioni esistenti devono essere esaminate in base a queste indicazioni.

Medio

GKE su VMware

Nessun aggiornamento al momento.

GKE su AWS

Nessun aggiornamento al momento.

GKE su Azure

Nessun aggiornamento al momento.

GKE su Bare Metal

Nessun aggiornamento al momento.

GCP-2024-002

Pubblicato il: 17/01/2024
Aggiornato il: 20/02/2024
Riferimento: CVE-2023-6111

Aggiornamento del 20/02/2024: sono state aggiunte le versioni delle patch per GKE su VMware.

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS. CVE-2023-6111 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.7-gke.1063001 1.28.5-gke.1194000 1.29.0-gke.1340000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Aggiornamento: 20/02/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS. CVE-2023-6111 Che cosa devo fare? Aggiornamento del 20/02/2024: le seguenti versioni di GKE su VMware sono aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster alle seguenti versioni o versioni successive: 1.28.100 Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS. CVE-2023-6111 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS. CVE-2023-6111 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Container-Optimized OS. CVE-2023-6111 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-051

Pubblicato il: 28/12/2023
Riferimento: CVE-2023-3609

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3609 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o consenti CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.24.14-gke.1027001 1.25.10-gke.1027001 1.26.5-gke.1014001 1.27.3-gke.1001002 1.28.0-gke.100 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.24.14-gke.1027001 1.26.5-gke.1021001 1.27.3-gke.1001002 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3609 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3609 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3609 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3609 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-050

Pubblicato il: 27-12-2023
Riferimento: CVE-2023-3389

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3389 I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.24.14-gke.1027001 1.25.10-gke.1027001 1.26.5-gke.1014001 1.27.3-gke.1001002 1.28.0-gke.100 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.24.14-gke.1027001 1.25.10-gke.1027001 1.26.5-gke.1014001 1.27.3-gke.1001002 1.28.1-gke.1002003 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3389 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3389 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3389 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3389 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-049

Pubblicato il: 20/12/2023
Riferimento: CVE-2023-3090

GKE

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3090 I cluster GKE Standard sono interessati. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o allow CAP_NET_ADMIN. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.24.14-gke.1027001 1.25.12-gke.900 1.26.5-gke.1014001 1.27.4-gke.400 1.28.0-gke.100 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.24.14-gke.1027001 1.25.12-gke.900 1.26.5-gke.1014001 1.27.4-gke.900 1.28.1-gke.1050000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3090 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS. Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3090 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3090 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3090 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-048

Pubblicato il: 15/12/2023
Aggiornato il: 21/12/2023
Riferimento: CVE-2023-3390

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

GKE

Aggiornamento: 21-12-2023

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3390 Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se impostate esplicitamente il profilo seccomp Unconfined o se consentite CAP_NET_ADMIN. I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.27.4-gke.400 1.28.0-gke.100 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.24.14-gke.1027001 1.25.12-gke.900 1.26.5-gke.1014001 1.27.4-gke.900 1.28.1-gke.1050000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3390 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3390 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3390 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3390 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-047

Pubblicato il: 14/12/2023

GKE

Descrizione

Gravità

Un malintenzionato che ha compromesso il contenitore di registrazione di Fluent Bit potrebbe combinare questo accesso con i privilegi elevati richiesti da Cloud Service Mesh (sui cluster in cui è stato attivato) per eseguire la riassegnazione dei privilegi nel cluster. I problemi relativi a Fluent Bit e Cloud Service Mesh sono stati attenuati e sono ora disponibili correzioni. Queste vulnerabilità non sono sfruttabili da sole in GKE e richiedono un compromesso iniziale. Non siamo a conoscenza di casi di sfruttamento di queste vulnerabilità. Questi problemi sono stati segnalati tramite il nostro Vulnerability Reward Program. Che cosa devo fare? Le seguenti versioni di GKE sono state aggiornate con il codice per correggere queste vulnerabilità in Fluent Bit e per gli utenti di Cloud Service Mesh gestito. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire manualmente l'upgrade del cluster e dei pool di nodi a una delle seguenti versioni di GKE o a una successiva: 1.25.16-gke.1020000 1.26.10-gke.1235000 1.27.7-gke.1293000 1.28.4-gke.1083000 Una funzionalità recente dei canali di release consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo, puoi proteggere i tuoi nodi finché la nuova versione non diventa predefinita per il tuo canale di rilascio specifico. Se il tuo cluster utilizza Cloud Service Mesh all'interno del cluster, devi eseguire l'upgrade manuale a una delle seguenti versioni (note di rilascio): 1.17.8-asm.8 1.18.6-asm.2 1.19.5-asm.4 Quali vulnerabilità vengono affrontate da questa patch? Le vulnerabilità affrontate da questo bollettino richiedono che un malintenzionato comprometta il contenitore di log di Fluent Bit. Non siamo a conoscenza di vulnerabilità esistenti in Fluent Bit che potrebbero portare a questa condizione di prerequisito per escalation dei privilegi. Abbiamo applicato patch a queste vulnerabilità come misure di rafforzamento per evitare una potenziale catena di attacchi completa in futuro GKE utilizza Fluent Bit per elaborare i log dei carichi di lavoro in esecuzione sui cluster. Fluent Bit su GKE è stato configurato anche per raccogliere i log per i carichi di lavoro Cloud Run. Il montaggio del volume configurato per raccogliere questi log ha dato accesso a Fluent Bit ai token degli account di servizio Kubernetes per altri pod in esecuzione sul node. Il ricercatore ha utilizzato questo accesso per scoprire un token di account di servizio altamente privilegiato per i cluster in cui è abilitato Cloud Service Mesh. Cloud Service Mesh richiedeva privilegi elevati per apportare le modifiche necessarie alla configurazione di un cluster, inclusa la possibilità di creare ed eliminare pod. Il ricercatore ha utilizzato il token dell'account di servizio Kubernetes con privilegi per eseguire la riassegnazione dei privilegi compromessi iniziali creando un nuovo pod con privilegi di amministratore del cluster Abbiamo rimosso l'accesso di Fluent Bit ai token dell'account di servizio e abbiamo redesignato la funzionalità di Cloud Service Mesh per rimuovere i privilegi in eccesso.

Medio

GKE su VMware

Descrizione

Gravità

Sono interessati solo i cluster GKE su VMware che utilizzano Cloud Service Mesh. Che cosa devo fare? Se il tuo cluster utilizza Cloud Service Mesh all'interno del cluster, devi eseguire l'upgrade manuale a una delle seguenti versioni (note di rilascio): 1.17.8-asm.8 1.18.6-asm.2 1.19.5-asm.4 Quali vulnerabilità vengono affrontate da questa patch? Le vulnerabilità trattate in questo bollettino richiedono innanzitutto all'utente malintenzionato di compromettere o di uscire in altro modo da un contenitore o di avere i privilegi di root su un nodo del cluster. Non siamo a conoscenza di vulnerabilità esistenti che potrebbero portare a questa condizione obbligatoria per escalation dei privilegi. Abbiamo corretto queste vulnerabilità come misure di rafforzamento per evitare una potenziale catena di attacchi completa in futuro. Cloud Service Mesh richiedeva privilegi elevati per apportare le modifiche necessarie alla configurazione di un cluster, inclusa la possibilità di creare ed eliminare pod. Il ricercatore ha utilizzato il token dell'account di servizio Kubernetes con privilegi di Cloud Service Mesh per eseguire la riassegnazione dei suoi privilegi compromessi iniziali creando un nuovo pod con privilegi di amministratore del cluster. Abbiamo riprogettato la funzionalità di Cloud Service Mesh per rimuovere i privilegi eccessivi.

Medio

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Sono interessati solo i cluster GKE su AWS che utilizzano Cloud Service Mesh. Che cosa devo fare? Se il tuo cluster utilizza Cloud Service Mesh all'interno del cluster, devi eseguire l'upgrade manuale a una delle seguenti versioni (note di rilascio): 1.17.8-asm.8 1.18.6-asm.2 1.19.5-asm.4 Quali vulnerabilità vengono affrontate da questa patch? Le vulnerabilità trattate in questo bollettino richiedono innanzitutto all'utente malintenzionato di compromettere o di uscire in altro modo da un contenitore o di avere i privilegi di root su un nodo del cluster. Non siamo a conoscenza di vulnerabilità esistenti che potrebbero portare a questa condizione obbligatoria per escalation dei privilegi. Abbiamo applicato patch a queste vulnerabilità come misure di rafforzamento per evitare una potenziale catena di attacchi completa in futuro. Cloud Service Mesh richiedeva privilegi elevati per apportare le modifiche necessarie alla configurazione di un cluster, inclusa la possibilità di creare ed eliminare pod. Il ricercatore ha utilizzato il token dell'account di servizio Kubernetes con privilegi di Cloud Service Mesh per eseguire la riassegnazione dei suoi privilegi compromessi iniziali creando un nuovo pod con privilegi di amministratore del cluster. Abbiamo riprogettato la funzionalità di Cloud Service Mesh per rimuovere i privilegi eccessivi.

Medio

GKE su Azure

Descrizione

Gravità

Sono interessati solo i cluster GKE su Azure che utilizzano Cloud Service Mesh. Che cosa devo fare? Se il tuo cluster utilizza Cloud Service Mesh all'interno del cluster, devi eseguire l'upgrade manuale a una delle seguenti versioni (note di rilascio): 1.17.8-asm.8 1.18.6-asm.2 1.19.5-asm.4 Quali vulnerabilità vengono affrontate da questa patch? Le vulnerabilità trattate in questo bollettino richiedono innanzitutto all'utente malintenzionato di compromettere o di uscire in altro modo da un contenitore o di avere i privilegi di root su un nodo del cluster. Non siamo a conoscenza di vulnerabilità esistenti che potrebbero portare a questa condizione obbligatoria per escalation dei privilegi. Abbiamo applicato patch a queste vulnerabilità come misure di rafforzamento per evitare una potenziale catena di attacchi completa in futuro. Cloud Service Mesh richiedeva privilegi elevati per apportare le modifiche necessarie alla configurazione di un cluster, inclusa la possibilità di creare ed eliminare pod. Il ricercatore ha utilizzato il token dell'account di servizio Kubernetes con privilegi di Cloud Service Mesh per eseguire la riassegnazione dei suoi privilegi compromessi iniziali creando un nuovo pod con privilegi di amministratore del cluster. Abbiamo riprogettato la funzionalità di Cloud Service Mesh per rimuovere i privilegi eccessivi.

Medio

GKE su Bare Metal

Descrizione

Gravità

Sono interessati solo i cluster GKE on Bare Metal che utilizzano Cloud Service Mesh. Che cosa devo fare? Se il tuo cluster utilizza Cloud Service Mesh all'interno del cluster, devi eseguire l'upgrade manuale a una delle seguenti versioni (note di rilascio): 1.17.8-asm.8 1.18.6-asm.2 1.19.5-asm.4 Quali vulnerabilità vengono affrontate da questa patch? Le vulnerabilità trattate in questo bollettino richiedono innanzitutto all'utente malintenzionato di compromettere o di uscire in altro modo da un contenitore o di avere i privilegi di root su un nodo del cluster. Non siamo a conoscenza di vulnerabilità esistenti che potrebbero portare a questa condizione obbligatoria per escalation dei privilegi. Abbiamo applicato patch a queste vulnerabilità come misure di rafforzamento per evitare una potenziale catena di attacchi completa in futuro. Anthos Service Mesh richiedeva privilegi elevati per apportare le modifiche necessarie alla configurazione di un cluster, inclusa la possibilità di creare ed eliminare pod. Il ricercatore ha utilizzato il token dell'account di servizio Kubernetes con privilegi di Cloud Service Mesh per eseguire la riassegnazione dei suoi privilegi compromessi iniziali creando un nuovo pod con privilegi di amministratore del cluster. Abbiamo riprogettato la funzionalità di Cloud Service Mesh per rimuovere i privilegi eccessivi.

Medio

GCP-2023-046

Pubblicato il: 22/11/2023
Aggiornamento: 04/03/2024
Riferimento: CVE-2023-5717

Aggiornamento del 04/03/2024: sono state aggiunte le versioni GKE per GKE su VMware.

Aggiornamento del 22-01-2024: sono state aggiunte le versioni con patch di Ubuntu.

GKE

Aggiornamento: 22/01/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-5717 I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 22/01/2024: sono interessate le seguenti versioni minori. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.24.17-gke.2472000 1.25.16-gke.1268000 1.26.12-gke.1111000 1.27.9-gke.1092000 1.28.5-gke.1217000 1.29.0-gke.138100 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.24.17-gke.2113000 1.25.14-gke.1421000 1.25.15-gke.1083000 1.26.10-gke.1073000 1.27.7-gke.1088000 1.28.3-gke.1203000 Nota: a breve verranno rilasciate le versioni di Ubuntu con patch. Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Aggiornamento: 29/02/2024

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-5717 Che cosa devo fare? Aggiornamento del 04/03/2024: le seguenti versioni di GKE su VMware sono aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster alle seguenti versioni o versioni successive: 1.28.200 1.16.5 1.15.8

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS. Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-5717 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-5717 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-5717 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-045

Pubblicato il: 20/11/2023
Aggiornato il: 21/12/2023
Riferimento: CVE-2023-5197

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

GKE

Aggiornamento: 21-12-2023

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-5197 Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o se consenti CAP_NET_ADMIN. I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni patch o successive: 1.25.13-gke.1002003 1.26.9-gke.1514000 1.27.6-gke.1513000 1.28.2-gke.1164000 Sono interessate le seguenti versioni secondarie. Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni patch o successive: 1.24.16-gke.1005001 1.25.13-gke.1002003 1.26.9-gke.1548000 1.27.7-gke.1039000 1.28.3-gke.1061000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi finché la versione della patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-5197 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-5197 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-5197 Che cosa devo fare? Nota: sono in corso la creazione di versioni delle patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-5197 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-042

Pubblicato il: 13/11/2023
Aggiornato il: 15/11/2023
Riferimento: CVE-2023-4147

Aggiornamento del 15/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione con patch corrispondente per GKE.

GKE

Aggiornamento: 15/11/2023

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4147 I cluster GKE Standard sono interessati. I cluster GKE Autopilot non sono interessati. Se hai cluster Autopilot che consentono CAP_NET_ADMIN, questi cluster potrebbero essere interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 15/11/2023: devi eseguire l'upgrade a una delle versioni con patch elencate in questo bollettino solo se utilizzi la versione secondaria nei tuoi nodi. Ad esempio, se utilizzi la versione 1.27 di GKE, devi eseguire l'upgrade alla versione corretta con patch. Tuttavia, se utilizzi GKE 1.24, non è necessario eseguire l'upgrade a una versione con patch. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni o versioni successive: 1.27.5-gke.200 1.28.2-gke.1157000 Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni o versioni successive: 1.25.14-gke.1421000 1.26.9-gke.1437000 1.27.6-gke.1248000 1.28.2-gke.1157000 Puoi applicare le versioni delle patch dei canali di rilascio più recenti se il tuo cluster esegue la stessa versione secondaria nel proprio canale di rilascio. Questa funzionalità ti consente di proteggere i tuoi nodi fino a quando la versione con patch non diventa predefinita nel canale di rilascio. Per maggiori dettagli, vedi Eseguire le versioni con patch da un canale più recente.

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4147 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4147 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4147 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4147 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-041

Pubblicato il: 08/11/2023
Aggiornato il: 21/11/2023, 05/12/2023, 21/12/2023
Riferimento: CVE-2023-4004

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 05/12/2023: sono state aggiunte altre versioni di GKE per i node pool Container-Optimized OS.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione patch corrispondente per GKE.

GKE

Aggiornamento: 21/11/2023, 05/12/2023, 21/12/2023

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4004 Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o se consenti CAP_NET_ADMIN. I cluster Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 05/12/2023: alcune versioni di GKE non erano precedentemente disponibili. Di seguito è riportato un elenco aggiornato delle versioni GKE a cui puoi eseguire l'upgrade di Container-Optimized OS: 1.24.17-gke.200 o versioni successive 1.25.13-gke.200 o versioni successive 1.26.8-gke.200 o versioni successive 1.27.4-gke.2300 o successive 1.28.1-gke.1257000 o versioni successive Aggiornamento del 21/11/2023: devi eseguire l'upgrade a una delle versioni con patch elencate in questo bollettino solo se utilizzi la versione minore nei tuoi nodi. Le versioni secondarie non elencate non sono interessate. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni o versioni successive: 1.27.4-gke.2300 1.28.1-gke.1257000 Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni o versioni successive: 1.24.14-gke.1027001 1.25.13-gke.700 1.26.8-gke.700 1.27.5-gke.700 1.28.1-gke.1050000

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4004 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4004 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4004 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4004 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-040

Pubblicato il: 06/11/2023
Aggiornato il: 21/11/2023, 21/12/2023
Riferimento: CVE-2023-4921

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione patch corrispondente per GKE.

GKE

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4921 Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o se consenti CAP_NET_ADMIN. I cluster Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 21/11/2023: devi eseguire l'upgrade a una delle versioni con patch elencate in questo bollettino solo se utilizzi la versione minore nei tuoi nodi. Le versioni secondarie non elencate non sono interessate. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni o versioni successive: 1.24.14-gke.1027001 1.25.14-gke.1351000 1.26.9-gke.1345000 1.27.6-gke.1389000 Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni o versioni successive: 1.24.17-gke.2186000 1.25.15-gke.1016000 1.26.9-gke.1548000 1.27.6-gke.1551000 1.28.2-gke.1256000

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4921 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4921 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4921 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4921 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-039

Pubblicato il: 06/11/2023
Aggiornato il: 21/11/2023, 16/11/2023
Riferimento: CVE-2023-4622

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione patch corrispondente per GKE.

Aggiornamento del 16/11/2023: la vulnerabilità associata a questo bollettino sulla sicurezza è CVE-2023-4622. CVE-2023-4623 è stata elencata erroneamente come vulnerabilità in una versione precedente del bollettino sulla sicurezza.

GKE

Aggiornamento: 21/11/2023, 16/11/2023

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4623 I cluster Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 21/11/2023: devi eseguire l'upgrade a una delle versioni con patch elencate in questo bollettino solo se utilizzi la versione minore nei tuoi nodi. Le versioni secondarie non elencate non sono interessate. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni o versioni successive: 1.24.14-gke.1027001 1.25.14-gke.1351000 1.26.9-gke.1345000 1.27.5-gke.1647000 Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni o versioni successive: 1.24.17-gke.2186000 1.25.15-gke.1016000 1.26.9-gke.1548000 1.27.6-gke.1551000 1.28.2-gke.1256000

Alta

GKE su VMware

Aggiornamento: 16/11/2023

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4623 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Aggiornamento: 16/11/2023

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4623 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Aggiornamento: 16/11/2023

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4623 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Aggiornamento: 16/11/2023

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4623 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-038

Pubblicato il: 06/11/2023
Aggiornato il: 21/11/2023, 21/12/2023
Riferimento: CVE-2023-4623

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione patch corrispondente per GKE.

GKE

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4623 Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o se consenti CAP_NET_ADMIN. I cluster Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 21/11/2023: devi eseguire l'upgrade a una delle versioni con patch elencate in questo bollettino solo se utilizzi la versione minore nei tuoi nodi. Le versioni secondarie non elencate non sono interessate. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni o versioni successive: 1.24.14-gke.1027001 1.25.14-gke.1351000 1.26.9-gke.1345000 1.27.6-gke.1389000 Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni o versioni successive: 1.24.17-gke.2186000 1.25.15-gke.1016000 1.26.9-gke.1548000 1.27.6-gke.1551000 1.28.2-gke.1256000

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4623 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4623 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4623 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4623 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-037

Pubblicato il: 06/11/2023
Aggiornato il: 21/11/2023, 21/12/2023
Riferimento: CVE-2023-4015

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione patch corrispondente per GKE.

GKE

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4015 Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o se consenti CAP_NET_ADMIN. I cluster Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 21/11/2023: devi eseguire l'upgrade a una delle versioni con patch elencate in questo bollettino solo se utilizzi la versione minore nei tuoi nodi. Le versioni secondarie non elencate non sono interessate. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni o versioni successive: 1.27.5-gke.1647000 Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni o versioni successive: 1.24.14-gke.1027001 1.25.13-gke.700 1.26.8-gke.700 1.27.5-gke.700 1.28.1-gke.1050000

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4015 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE on VMware. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4015 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE su AWS. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.

In attesa

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4015 Che cosa devo fare? Nota: sono in corso la creazione di versioni con patch e una valutazione della gravità per GKE su Azure. Aggiorneremo questo bollettino con queste informazioni non appena saranno disponibili.	In attesa

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4015 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Nessuno

GCP-2023-035

Pubblicato: 26/10/2023
Aggiornato: 21/11/2023, 21/12/2023
Riferimento: CVE-2023-4206, CVE-2023-4207, CVE-2023-4208, CVE-2023-4128

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione patch corrispondente per GKE.

GKE

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4206 CVE-2023-4207 CVE-2023-4208 CVE-2023-4128 Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o se consenti CAP_NET_ADMIN. I cluster Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 21/11/2023: devi eseguire l'upgrade a una delle versioni con patch elencate in questo bollettino solo se utilizzi la versione minore nei tuoi nodi. Le versioni secondarie non elencate non sono interessate. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni o versioni successive: 1.24.14-gke.1027001 1.25.13-gke.1008000 1.26.8-gke.1647000 1.27.5-gke.200 Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni o versioni successive: 1.24.14-gke.1027001 1.25.13-gke.1706000 1.26.8-gke.1647000 1.27.5-gke.1648000 1.28.1-gke.1050000

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4206 CVE-2023-4207 CVE-2023-4208 CVE-2023-4128 Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch.	Alta

GKE su AWS

Descrizione	Gravità
Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4206 CVE-2023-4207 CVE-2023-4208 CVE-2023-4128 Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch.	Alta

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4206 CVE-2023-4207 CVE-2023-4208 CVE-2023-4128 Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch.	Alta

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-4206 CVE-2023-4207 CVE-2023-4208 CVE-2023-4128 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.	Alta

GCP-2023-033

Pubblicato il: 24/10/2023
Aggiornato il: 21/11/2023, 21/12/2023
Riferimento: CVE-2023-3777

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita e i carichi di lavoro GKE Sandbox non sono interessati.

Aggiornamento del 21/11/2023: è stato chiarito che solo le versioni secondarie elencate devono eseguire l'upgrade a una versione patch corrispondente per GKE.

GKE

Aggiornamento: 21/11/2023, 21/12/2023

Descrizione

Gravità

Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3777 Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se impostate esplicitamente il profilo seccomp Unconfined o se consentite CAP_NET_ADMIN. Anche i carichi di lavoro di GKE Sandbox non sono interessati. I cluster Autopilot sono interessati. I cluster che utilizzano GKE Sandbox sono interessati. Che cosa devo fare? Aggiornamento del 21/11/2023: devi eseguire l'upgrade a una delle versioni con patch elencate in questo bollettino solo se utilizzi la versione minore nei tuoi nodi. Le versioni secondarie non elencate non sono interessate. Esegui l'upgrade dei pool di nodi Container-Optimized OS a una delle seguenti versioni o versioni successive: 1.24.16-gke.2200 1.25.12-gke.2200 1.26.7-gke.2200 1.27.4-gke.2300 Esegui l'upgrade dei pool di nodi Ubuntu a una delle seguenti versioni o versioni successive: 1.24.17-gke.700 1.25.13-gke.700 1.26.8-gke.700 1.27.5-gke.700 1.28.0-gke.100

Alta

GKE su VMware

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3777 Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch.

GKE su AWS

Descrizione	Gravità
Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3777 Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch.

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3777 Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch.

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte le seguenti vulnerabilità che possono portare a un'escalation dei privilegi sui nodi Ubuntu e Container-Optimized OS. CVE-2023-3777 Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE on Bare Metal non è interessato perché non include un sistema operativo nella distribuzione.

GCP-2023-030

Pubblicato il: 10/10/2023
Aggiornamento: 20/03/2024
Riferimento: CVE-2023-44487CVE-2023-39325

Aggiornamento del 20/03/2024: sono state aggiunte le versioni delle patch per GKE su AWS e GKE su Azure
Aggiornamento del 14/02/2024: sono state aggiunte le versioni delle patch per GKE su VMware
Aggiornamento del 09/11/2023: è stata aggiunta CVE-2023-39325. Versioni GKE aggiornate con le patch più recenti per CVE-2023-44487 e CVE-2023-39325.

GKE

Aggiornamento: 09/11/2023

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità di tipo Denial of Service (DoS) in più implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS del piano di controllo di Google Kubernetes Engine (GKE). I cluster GKE con reti autorizzate configurate sono protetti limitando l'accesso alla rete, ma tutti gli altri cluster sono interessati. Che cosa devo fare? Aggiornamento del 09/11/2023: abbiamo rilasciato nuove versioni di GKE che includono le patch di sicurezza di Go e Kubernetes, a cui ora puoi aggiornare i tuoi cluster. Nelle prossime settimane pubblicheremo ulteriori modifiche al piano di controllo di GKE per attenuare ulteriormente il problema. Le seguenti versioni di GKE sono state aggiornate con patch per CVE-2023-44487 e CVE-2023-39325: 1.24.17-gke.2155000 1.25.14-gke.1474000 1.26.10-gke.1024000 1.27.7-gke.1038000 1.28.3-gke.1090000 Ti consigliamo di applicare la seguente mitigazione il prima possibile ed eseguire l'upgrade alla versione più recente con patch, se disponibile. Le patch Golang verranno rilasciate il 10 ottobre. Una volta disponibili, creeremo e convalideremo un nuovo server API Kubernetes con queste patch e pubblicheremo una release di GKE con patch. Una volta che la release di GKE sarà disponibile, aggiorneremo questo bollettino con indicazioni sulla versione a cui eseguire l'upgrade del piano di controllo e renderemo visibili le patch all'interno della postura di sicurezza di GKE, se disponibili per il tuo cluster. Per ricevere una notifica Pub/Sub quando è disponibile una patch per il tuo canale, abilita le notifiche del cluster. Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi fino a quando la nuova versione non diventa predefinita per il canale specifico della release. Evita il problema configurando le reti autorizzate per l'accesso al control plane: Puoi aggiungere reti autorizzate per i cluster esistenti. Per saperne di più, consulta la sezione Rete autorizzata per i cluster esistenti. Oltre alle reti autorizzate che aggiungi, esistono indirizzi IP preimpostati che possono accedere al control plane di GKE. Per scoprire di più su questi indirizzi, vedi Accedere agli endpoint del piano di controllo. I seguenti elementi riepilogano l'isolamento del cluster: I cluster privati con --master-authorized-networks e i cluster basati su PSC con --master-authorized-networks e --no-enable-google-cloud configurati sono i più isolati. I cluster pubblici precedenti con --master-authorized-networks e i cluster basati su PSC con --master-authorized-networks e --enable-google-cloud (predefinito) configurati sono accessibili anche tramite: Indirizzi IP pubblici di tutte le VM Compute Engine in Google Cloud Indirizzi IP della piattaforma Google Cloud Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità CVE-2023-44487 consente a un utente malintenzionato di eseguire un attacco di tipo denial of service sui nodi del piano di controllo GKE.

Alta

GKE su VMware

Aggiornamento: 14/02/2024

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità di tipo Denial of Service (DoS) in più implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS del piano di controllo Kubernetes. GKE su VMware crea cluster Kubernetes che non sono direttamente accessibili a internet per impostazione predefinita e sono protetti da questa vulnerabilità. Che cosa devo fare? Aggiornamento del 14/02/2024: le seguenti versioni di GKE su VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster alle seguenti versioni delle patch o versioni successive: 1.28.100 1.16.6 1.15.8 Se hai configurato GKE sui cluster Kubernetes di VMware in modo che abbia accesso diretto a internet o ad altre reti non attendibili, ti consigliamo di collaborare con l'amministratore della firewall per bloccare o limitare questo accesso. Ti consigliamo di eseguire l'upgrade alla versione patch più recente, se disponibile, il prima possibile. Le patch Golang verranno rilasciate il 10 ottobre. Una volta disponibili, creeremo e convalideremo un nuovo server API Kubernetes con queste patch e pubblicheremo una release di GKE con patch. Una volta che la release di GKE sarà disponibile, aggiorneremo questo bollettino con indicazioni su quale versione eseguire l'upgrade del tuo piano di controllo. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità CVE-2023-44487 consente a un utente malintenzionato di eseguire un attacco denial of service sui nodi del piano di controllo Kubernetes.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Di recente è stata scoperta una vulnerabilità di tipo Denial of Service (DoS) in più implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS del piano di controllo Kubernetes. GKE su AWS crea cluster Kubernetes privati che non sono direttamente accessibili a internet per impostazione predefinita e sono protetti da questa vulnerabilità. Che cosa devo fare? Aggiornamento del 20/03/2024: le seguenti versioni di GKE su AWS sono state aggiornate con le patch per la vulnerabilità CVE-2023-44487: 1.26.10-gke.600 1.27.7-gke.600 1.28.3-gke.700 Se hai configurato GKE su AWS in modo che abbia accesso diretto a internet o ad altre reti non attendibili, ti consigliamo di collaborare con l'amministratore del firewall per bloccare o limitare questo accesso. Ti consigliamo di eseguire l'upgrade alla versione patch più recente, se disponibile, il prima possibile. Le patch Golang verranno rilasciate il 10 ottobre. Una volta disponibili, creeremo e convalideremo un nuovo server API Kubernetes con queste patch e pubblicheremo una release di GKE con patch. Una volta che la release di GKE sarà disponibile, aggiorneremo questo bollettino con indicazioni su quale versione eseguire l'upgrade del tuo piano di controllo. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità CVE-2023-44487 consente a un utente malintenzionato di eseguire un attacco denial of service sui nodi del piano di controllo Kubernetes.

Alta

GKE su Azure

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità di tipo Denial of Service (DoS) in più implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS del piano di controllo Kubernetes. GKE su Azure crea cluster Kubernetes privati che non sono direttamente accessibili a internet per impostazione predefinita e sono protetti da questa vulnerabilità. Che cosa devo fare? Aggiornamento del 20/03/2024: le seguenti versioni di GKE su Azure sono state aggiornate con le patch per CVE-2023-44487: 1.26.10-gke.600 1.27.7-gke.600 1.28.3-gke.700 Se hai configurato i tuoi cluster GKE su Azure in modo che abbiano accesso diretto a internet o ad altre reti non attendibili, ti consigliamo di collaborare con l'amministratore della firewall per bloccare o limitare questo accesso. Ti consigliamo di eseguire l'upgrade alla versione patch più recente, se disponibile, il prima possibile. Le patch Golang verranno rilasciate il 10 ottobre. Una volta disponibili, creeremo e convalideremo un nuovo server API Kubernetes con queste patch e pubblicheremo una release di GKE con patch. Una volta che la release di GKE sarà disponibile, aggiorneremo questo bollettino con indicazioni su quale versione eseguire l'upgrade del tuo piano di controllo. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità CVE-2023-44487 consente a un utente malintenzionato di eseguire un attacco denial of service sui nodi del piano di controllo Kubernetes.

Alta

GKE su Bare Metal

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità di tipo Denial of Service (DoS) in più implementazioni del protocollo HTTP/2 (CVE-2023-44487), incluso il server HTTP golang utilizzato da Kubernetes. La vulnerabilità potrebbe causare un attacco DoS del piano di controllo Kubernetes. Anthos on Bare Metal crea cluster Kubernetes che non sono direttamente accessibili a internet per impostazione predefinita e sono protetti da questa vulnerabilità. Che cosa devo fare? Se hai configurato i tuoi cluster Kubernetes Anthos on Bare Metal in modo che abbiano accesso diretto a internet o ad altre reti non attendibili, ti consigliamo di collaborare con l'amministratore della firewall per bloccare o limitare questo accesso. Per scoprire di più, consulta la Panoramica della sicurezza di GKE on Bare Metal. Ti consigliamo di eseguire l'upgrade alla versione patch più recente, se disponibile, il prima possibile. Le patch Golang verranno rilasciate il 10 ottobre. Una volta disponibili, creeremo e convalideremo un nuovo server API Kubernetes con queste patch e pubblicheremo una release di GKE con patch. Una volta che la release di GKE sarà disponibile, aggiorneremo questo bollettino con indicazioni su quale versione eseguire l'upgrade del tuo piano di controllo. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità CVE-2023-44487 consente a un utente malintenzionato di eseguire un attacco denial of service sui nodi del piano di controllo Kubernetes.

Alta

GCP-2023-026

Pubblicato il: 06-09-2023
Riferimento: CVE-2023-3676, CVE-2023-3955, CVE-2023-3893

GKE

Descrizione

Gravità

In Kubernetes sono state scoperte tre vulnerabilità (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893) che consentono a un utente che può creare pod su nodi Windows di eseguire l'escalation ai privilegi amministrativi su questi nodi. Queste vulnerabilità interessano le versioni Windows di Kubelet e del proxy CSI di Kubernetes. I cluster GKE sono interessati solo se includono nodi Windows. Che cosa devo fare? Le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire l'upgrade manuale del cluster e dei pool di nodi a una delle seguenti versioni di GKE: 1.24.17-gke.200 1.25.13-gke.200 1.26.8-gke.200 1.27.5-gke.200 1.28.1-gke.200 Il piano di controllo GKE verrà aggiornato la settimana del 04-09-2023 per aggiornare csi-proxy alla versione 1.1.3. Se aggiorni i nodi prima dell'aggiornamento del piano di controllo, dovrai aggiornarli di nuovo dopo l'aggiornamento per sfruttare il nuovo proxy. Puoi aggiornare di nuovo i nodi, anche senza modificare la versione del nodo, eseguendo il comando gcloud container clusters upgrade e passando il flag --cluster-version con la stessa versione GKE già in esecuzione nel pool di nodi. Per questa soluzione alternativa devi utilizzare gcloud CLI. Tieni presente che questo causerà un aggiornamento indipendentemente dalle finestre di manutenzione. Una funzionalità recente dei canali di release consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo, puoi proteggere i tuoi nodi finché la nuova versione non diventa predefinita per il tuo canale di release specifico. Quali vulnerabilità vengono affrontate da questa patch? Con la vulnerabilità CVE-2023-3676, un utente malintenzionato potrebbe creare una specifica del pod con stringhe di percorso dell'host che contengono comandi PowerShell. Kubelet non dispone della sanitizzazione degli input e passa questa stringa del percorso creata dall'utente all'eseguitore dei comandi come argomento, dove eseguirà parti della stringa come comandi separati. Questi comandi verranno eseguiti con gli stessi privilegi amministrativi di Kubelet. Con CVE-2023-3955, Kubelet concede agli utenti che possono creare pod la possibilità di eseguire codice allo stesso livello di autorizzazione dell'agente Kubelet, ovvero autorizzazioni privilegiate. Con CVE-2023-3893, una simile mancanza di convalida dell'input consente a un utente che può creare pod su nodi Windows che eseguono kubernetes-csi-proxy di eseguire la riassegnazione dei privilegi amministrativi su questi nodi. I log di controllo di Kubernetes possono essere utilizzati per rilevare se questa vulnerabilità viene sfruttata. Gli eventi di creazione del pod con comandi PowerShell incorporati sono un'indicazione chiara di sfruttamento. Anche i ConfigMap e i secret che contengono comandi PowerShell incorporati e sono montati nei pod sono un'indicazione chiara di sfruttamento.

Alta

GKE su VMware

Descrizione

Gravità

In Kubernetes sono state scoperte tre vulnerabilità (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893) che consentono a un utente che può creare pod su nodi Windows di eseguire l'escalation ai privilegi amministrativi su questi nodi. Queste vulnerabilità interessano le versioni Windows di Kubelet e del proxy CSI di Kubernetes. I cluster sono interessati solo se includono nodi Windows. Che cosa devo fare? A breve verranno rilasciate le versioni con patch di GKE su VMware. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su VMware. Quali vulnerabilità vengono affrontate da questa patch? Con la vulnerabilità CVE-2023-3676, un utente malintenzionato potrebbe creare una specifica del pod con stringhe di percorso dell'host che contengono comandi PowerShell. Kubelet non dispone della sanitizzazione degli input e passa questa stringa del percorso creata dall'utente all'eseguitore dei comandi come argomento, dove eseguirà parti della stringa come comandi separati. Questi comandi verranno eseguiti con gli stessi privilegi amministrativi di Kubelet. Con CVE-2023-3955, Kubelet concede agli utenti che possono creare pod la possibilità di eseguire codice allo stesso livello di autorizzazione dell'agente Kubelet, ovvero autorizzazioni privilegiate. Con CVE-2023-3893, una simile mancanza di convalida dell'input consente a un utente che può creare pod su nodi Windows che eseguono kubernetes-csi-proxy di eseguire la riassegnazione dei privilegi amministrativi su questi nodi. I log di controllo di Kubernetes possono essere utilizzati per rilevare se questa vulnerabilità viene sfruttata. Gli eventi di creazione di pod con comandi PowerShell incorporati sono un'indicazione chiara di sfruttamento. Anche i ConfigMap e i secret che contengono comandi PowerShell incorporati e sono montati nei pod sono un'indicazione chiara di sfruttamento.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS In Kubernetes sono state scoperte tre vulnerabilità (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893) che consentono a un utente che può creare pod su nodi Windows di eseguire l'escalation ai privilegi amministrativi su questi nodi. Queste vulnerabilità interessano le versioni Windows di Kubelet e del proxy CSI di Kubernetes. Che cosa devo fare? GKE su AWS non è interessato da queste CVE. Non è richiesta alcuna azione da parte tua.

Nessuno

GKE su Azure

Descrizione

Gravità

In Kubernetes sono state scoperte tre vulnerabilità (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893) che consentono a un utente che può creare pod su nodi Windows di eseguire l'escalation ai privilegi amministrativi su questi nodi. Queste vulnerabilità interessano le versioni Windows di Kubelet e del proxy CSI di Kubernetes. Che cosa devo fare? GKE su Azure non è interessato da queste CVE. Non è richiesta alcuna azione da parte tua.

Nessuno

GKE su Bare Metal

Descrizione

Gravità

In Kubernetes sono state scoperte tre vulnerabilità (CVE-2023-3676, CVE-2023-3955, CVE-2023-3893) che consentono a un utente che può creare pod su nodi Windows di eseguire l'escalation ai privilegi amministrativi su questi nodi. Queste vulnerabilità interessano le versioni Windows di Kubelet e del proxy CSI di Kubernetes. Che cosa devo fare? GKE on Bare Metal non è interessato da queste CVE. Non è richiesta alcuna azione da parte tua.

Nessuno

GCP-2023-018

Pubblicato il: 27/06/2023
Riferimento: CVE-2023-2235

GKE

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2023-2235) che può portare a un'escalation dei privilegi sul nodo. I cluster GKE Autopilot sono interessati perché i nodi GKE Autopilot utilizzano sempre immagini dei nodi Container-Optimized OS. I cluster GKE Standard con versioni 1.25 o successive che eseguono immagini dei nodi Container-Optimized OS sono interessati. I cluster GKE non sono interessati se eseguono solo immagini dei nodi Ubuntu, versioni precedenti alla 1.25 o GKE Sandbox. Che cosa devo fare? Le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire l'upgrade manuale del cluster e dei pool di nodi a una delle seguenti versioni di GKE: 1.25.9-gke.1400 1.26.4-gke.1500 1.27.1-gke.2400 Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi fino a quando la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate? Con CVE-2023-2235, la funzione perf_group_detach non controllava lo stato attach_state dei fratelli dell'evento prima di chiamare add_event_to_groups(), ma remove_on_exec consentiva di chiamare list_del_event() prima di scollegarsi dal gruppo, il che rendeva possibile l'utilizzo di un puntatore inutilizzato che causava una vulnerabilità di tipo use-after-free.

Alta

GKE su VMware

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2023-2235) che può portare a un'escalation dei privilegi sul nodo. I cluster GKE on VMware sono interessati. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GKE su VMware. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su VMware. Quali vulnerabilità vengono affrontate? Con CVE-2023-2235, la funzione perf_group_detach non controllava lo stato attach_state dei fratelli dell'evento prima di chiamare add_event_to_groups(), ma remove_on_exec consentiva di chiamare list_del_event() prima di scollegarsi dal gruppo, il che rendeva possibile l'utilizzo di un puntatore inutilizzato che causava una vulnerabilità di tipo use-after-free.

Alta

GKE su AWS

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2023-2235) che può portare a un'escalation dei privilegi sul nodo. I cluster GKE su AWS sono interessati. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GKE su AWS. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su AWS. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2023-2235, la funzione perf_group_detach non controllava lo stato attach_state dei fratelli dell'evento prima di chiamare add_event_to_groups(), ma remove_on_exec consentiva di chiamare list_del_event() prima di scollegarsi dal gruppo, il che rendeva possibile l'utilizzo di un puntatore inutilizzato che causava una vulnerabilità di tipo use-after-free.

Alta

GKE su Azure

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2023-2235) che può portare a un'escalation dei privilegi sul nodo. I cluster GKE su Azure sono interessati. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GKE su Azure. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su Azure. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2023-2235, la funzione perf_group_detach non controllava lo stato attach_state dei fratelli dell'evento prima di chiamare add_event_to_groups(), ma remove_on_exec consentiva di chiamare list_del_event() prima di scollegarsi dal gruppo, il che rendeva possibile l'utilizzo di un puntatore inutilizzato che causava una vulnerabilità di tipo use-after-free.

Alta

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2023-2235) che può portare a un'escalation dei privilegi sul nodo. Google Distributed Cloud Virtual for Bare Metal non è interessato da questa CVE. Che cosa devo fare? Non è richiesta alcuna azione da parte tua.	Nessuno

GCP-2023-017

Pubblicato il: 26/06/2023
Aggiornamento: 11/07/2023
Riferimento: CVE-2023-31436

Aggiornamento del 11/07/2023: sono state aggiornate le nuove versioni di GKE per includere le ultime versioni di Ubuntu che correggono la vulnerabilità CVE-2023-31436.

GKE

Aggiornamento: 11/07/2023

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2023-31436) che può portare a un'escalation dei privilegi sul nodo. I cluster GKE, inclusi i cluster Autopilot, sono interessati. I cluster GKE che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 11/07/2023: sono disponibili le versioni con patch per Ubuntu. Le seguenti versioni di GKE sono state aggiornate per includere le versioni Ubuntu più recenti che correggono la vulnerabilità CVE-2023-31436: 1.23.17-gke.8200 1.24.14-gke.2600 1.25.10-gke.2700 1.26.5-gke.2700 1.27.2-gke.2700 Le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire l'upgrade manuale del cluster e dei pool di nodi a una delle seguenti versioni di GKE: 1.22.17-gke.11400 1.23.17-gke.6800 1.24.14-gke.1200 1.25.10-gke.1200 1.26.5-gke.1200 1.27.2-gke.1200 Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi fino a quando la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate? Con CVE-2023-31436 è stato rilevato un difetto di accesso alla memoria fuori limite nel sottosistema di controllo del traffico (QoS) del kernel Linux nel modo in cui un utente attiva la funzione qfq_change_class con un valore MTU errato del dispositivo di rete utilizzato come lmax. Questa falla consente a un utente locale di arrestare il sistema o potenzialmente di eseguire l'escalation dei propri privilegi sul sistema.

Alta

GKE su VMware

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2023-31436) che può portare a un'escalation dei privilegi sul nodo. I cluster GKE on VMware sono interessati. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GKE su VMware. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su VMware. Quali vulnerabilità vengono affrontate? Con CVE-2023-31436 è stato rilevato un difetto di accesso alla memoria fuori limite nel sottosistema di controllo del traffico (QoS) del kernel Linux nel modo in cui un utente attiva la funzione qfq_change_class con un valore MTU errato del dispositivo di rete utilizzato come lmax. Questa falla consente a un utente locale di arrestare il sistema o potenzialmente di eseguire l'escalation dei propri privilegi sul sistema.

Alta

GKE su AWS

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2023-31436) che può portare a un'escalation dei privilegi sul nodo. I cluster GKE su AWS sono interessati. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GKE su AWS. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su AWS. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2023-31436 è stato rilevato un difetto di accesso alla memoria fuori limite nel sottosistema di controllo del traffico (QoS) del kernel Linux nel modo in cui un utente attiva la funzione qfq_change_class con un valore MTU errato del dispositivo di rete utilizzato come lmax. Questa falla consente a un utente locale di arrestare il sistema o potenzialmente di eseguire l'escalation dei propri privilegi sul sistema.

Alta

GKE su Azure

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2023-31436) che può portare a un'escalation dei privilegi sul nodo. I cluster GKE su Azure sono interessati. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GKE su Azure. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su Azure. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2023-31436 è stato rilevato un difetto di accesso alla memoria fuori limite nel sottosistema di controllo del traffico (QoS) del kernel Linux nel modo in cui un utente attiva la funzione qfq_change_class con un valore MTU errato del dispositivo di rete utilizzato come lmax. Questa falla consente a un utente locale di arrestare il sistema o potenzialmente di eseguire l'escalation dei propri privilegi sul sistema.

Alta

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2023-31436) che può portare a un'escalation dei privilegi sul nodo. Google Distributed Cloud Virtual for Bare Metal non è interessato da questa CVE. Che cosa devo fare? Non è richiesta alcuna azione da parte tua.	Nessuno

GCP-2023-016

Pubblicato il: 26/06/2023
Riferimento: CVE-2023-27496, CVE-2023-27488, CVE-2023-27493, CVE-2023-27492, CVE-2023-27491, CVE-2023-27487

GKE

Descrizione	Gravità
Sono state scoperte diverse vulnerabilità in Envoy, utilizzato in Cloud Service Mesh (ASM). Questi problemi sono stati segnalati separatamente come GCP-2023-002. GKE non viene fornito con ASM e non è interessato da queste vulnerabilità. Che cosa devo fare? Se hai installato separatamente ASM per i tuoi cluster GKE, consulta GCP-2023-002.	Nessuno

GKE su VMware

Descrizione

Gravità

In Envoy, che viene utilizzato in Cloud Service Mesh in GKE su VMware, sono state scoperte diverse vulnerabilità (CVE-2023-27496, CVE-2023-27488, CVE-2023-27493, CVE-2023-27492, CVE-2023-27491, CVE-2023-27487) che consentono a un malintenzionato di provocare un denial of service o un arresto anomalo di Envoy. Questi problemi sono stati segnalati separatamente come GCP-2023-002, ma vogliamo assicurarci che i clienti di GKE Enterprise aggiornino le versioni che includono ASM. Che cosa devo fare? Le seguenti versioni di GKE on VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei cluster di amministrazione e utente a una delle seguenti versioni di GKE on VMware: 1.13.8 1.14.5 1.15.1 Quali vulnerabilità vengono affrontate da questa patch? CVE-2023-27496: se Envoy è in esecuzione con il filtro OAuth abilitato, un attore malintenzionato potrebbe creare una richiesta che causerebbe denial of service facendo arrestare in modo anomalo Envoy. CVE-2023-27488: gli attaccanti possono utilizzare questa vulnerabilità per bypassare i controlli di autenticazione quando viene utilizzato ext_authz. CVE-2023-27493: la configurazione di Envoy deve includere anche un'opzione per aggiungere intestazioni di richiesta generate utilizzando gli input della richiesta, ad esempio il SAN del certificato peer. CVE-2023-27492: gli utenti malintenzionati possono inviare corpo di richieste di grandi dimensioni per i percorsi in cui è attivato il filtro Lua e attivare arresti anomali. CVE-2023-27491: gli aggressori possono inviare richieste HTTP/2 o HTTP/3 appositamente create per attivare errori di analisi sul servizio upstream HTTP/1. CVE-2023-27487: l'intestazione x-envoy-original-path dovrebbe essere interna, ma Envoy non la rimuove dalla richiesta all'inizio dell'elaborazione della richiesta quando viene inviata da un client non attendibile.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS In Envoy, utilizzato in Cloud Service Mesh, sono state scoperte diverse vulnerabilità (CVE-2023-27496, CVE-2023-27488, CVE-2023-27493, CVE-2023-27492, CVE-2023-27491, CVE-2023-27487). Questi problemi sono stati segnalati separatamente come GCP-2023-002. GKE su AWS non viene fornito con ASM e non è interessato. Che cosa devo fare? Non è richiesta alcuna azione da parte tua.

Nessuno

GKE su Azure

Descrizione	Gravità
In Envoy, utilizzato in Cloud Service Mesh, sono state scoperte diverse vulnerabilità (CVE-2023-27496, CVE-2023-27488, CVE-2023-27493, CVE-2023-27492, CVE-2023-27491, CVE-2023-27487). Questi problemi sono stati segnalati separatamente come GCP-2023-002. GKE su Azure non viene fornito con ASM e non è interessato. Che cosa devo fare? Non è richiesta alcuna azione da parte tua.	Nessuno

GKE su Bare Metal

Descrizione

Gravità

In Envoy, che viene utilizzato in Cloud Service Mesh in GKE on Bare Metal, sono state scoperte diverse vulnerabilità (CVE-2023-27496, CVE-2023-27488, CVE-2023-27493, CVE-2023-27492, CVE-2023-27491, CVE-2023-27487) che consentono a un malintenzionato di causare un denial of service o un arresto anomalo di Envoy. Questi problemi sono stati segnalati separatamente come GCP-2023-002, ma vogliamo assicurarci che i clienti di GKE Enterprise aggiornino le versioni che includono ASM. Che cosa devo fare? Le seguenti versioni di GKE on Bare Metal sono state aggiornate con codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei cluster di amministrazione e utente a una delle seguenti versioni di GKE on Bare Metal: 1.13.9 1.14.6 1.15.2 Quali vulnerabilità vengono affrontate da questa patch? CVE-2023-27496: se Envoy è in esecuzione con il filtro OAuth abilitato, un attore malintenzionato potrebbe creare una richiesta che causerebbe denial of service facendo arrestare in modo anomalo Envoy. CVE-2023-27488: gli attaccanti possono utilizzare questa vulnerabilità per bypassare i controlli di autenticazione quando viene utilizzato ext_authz. CVE-2023-27493: la configurazione di Envoy deve includere anche un'opzione per aggiungere intestazioni di richiesta generate utilizzando gli input della richiesta, ad esempio il SAN del certificato peer. CVE-2023-27492: gli utenti malintenzionati possono inviare corpo di richieste di grandi dimensioni per i percorsi in cui è attivato il filtro Lua e attivare arresti anomali. CVE-2023-27491: gli aggressori possono inviare richieste HTTP/2 o HTTP/3 appositamente create per attivare errori di analisi sul servizio upstream HTTP/1. CVE-2023-27487: l'intestazione x-envoy-original-path dovrebbe essere interna, ma Envoy non la rimuove dalla richiesta all'inizio dell'elaborazione della richiesta quando viene inviata da un client non attendibile.

Alta

GCP-2023-015

Pubblicato il: 20/06/2023
Riferimento: CVE-2023-0468

GKE

Descrizione

Gravità

Nella versione 5.15 del kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2023-0468) che può causare un denial of service sul nodo. I cluster GKE, inclusi i cluster Autopilot, sono interessati. I cluster GKE che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire l'upgrade manuale del cluster e dei pool di nodi a una delle seguenti versioni di GKE: 1.25.7-gke.1200 1.26.2-gke.1200 Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi fino a quando la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate? In CVE-2023-0468 è stato rilevato un difetto di uso dopo svuotamento in io_uring/poll.c in io_poll_check_events nel sottocomponente io_uring del kernel Linux. Questo difetto potrebbe causare un dereferenziamento del puntatore NULL e potenzialmente un arresto anomalo del sistema che porta a un Denial of Service.

Medio

GKE su VMware

Descrizione	Gravità
Nella versione 5.15 del kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2023-0468) che può causare un denial of service sul nodo. GKE on VMware utilizza la versione 5.4 del kernel di Linux e non è interessato da questa CVE. Che cosa devo fare? Non è richiesta alcuna azione	Nessuno

GKE su AWS

Descrizione	Gravità
Nella versione 5.15 del kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2023-0468) che può causare un denial of service sul nodo. GKE su AWS non è interessato da questa CVE. Che cosa devo fare? Non è richiesta alcuna azione	Nessuno

GKE su Azure

Descrizione	Gravità
Nella versione 5.15 del kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2023-0468) che può causare un denial of service sul nodo. GKE su Azure non è interessato da questa CVE. Che cosa devo fare? Non è richiesta alcuna azione	Nessuno

GKE su Bare Metal

Descrizione	Gravità
Nella versione 5.15 del kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2023-0468) che può causare un denial of service sul nodo. Google Distributed Cloud Virtual for Bare Metal non è interessato da questa CVE. Che cosa devo fare? Non è richiesta alcuna azione	Nessuno

GCP-2023-014

Pubblicato: 15/06/2023
Aggiornato: 11/08/2023
Riferimento: CVE-2023-2727, CVE-2023-2728

Aggiornamento del 11/08/2023: sono state aggiunte le versioni delle patch per GKE su VMware, GKE su AWS, GKE su Azure e GKE on Bare Metal

GKE

Descrizione

Gravità

In Kubernetes sono stati scoperti due nuovi problemi di sicurezza che potrebbero consentire agli utenti di lanciare contenitori che aggirino le restrizioni dei criteri quando utilizzano contenitori effimeri e ImagePolicyWebhook (CVE-2023-2727) o il plug-in di ammissione ServiceAccount (CVE-2023-2728). GKE non utilizza ImagePolicyWebhook e non è interessato da CVE-2023-2727. Tutte le versioni di GKE sono potenzialmente vulnerabili a CVE-2023-2728. Che cosa devo fare? Le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire l'upgrade manuale del cluster e dei pool di nodi a una delle seguenti versioni di GKE: 1.27.2-gke.1200 1.26.5-gke.1200 1.25.10-gke.1200 1.24.14-gke.1200 1.23.17-gke.6800 Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi finché la nuova versione non diventa predefinita per il tuo canale di rilascio specifico. Quali vulnerabilità vengono affrontate? Con la vulnerabilità CVE-2023-2727, gli utenti potrebbero essere in grado di avviare container utilizzando immagini limitate da ImagePolicyWebhook quando utilizzano container temporanei. I cluster Kubernetes sono interessati solo se il plug-in di ammissione ImagePolicyWebhook viene utilizzato insieme a container effimeri. Questa CVE può essere mitigata anche utilizzando webhook di convalida, come Gatekeeper e Kyverno, per applicare le stesse limitazioni. Nella vulnerabilità CVE-2023-2728, gli utenti potrebbero essere in grado di avviare contenitori che aggirano il criterio dei secret montabili applicato dal plug-in di ammissione del servizio account quando vengono utilizzati contenitori effimeri. Il criterio garantisce che i pod in esecuzione con un account di servizio possano fare riferimento solo ai secret specificati nel campo dei secret dell'account di servizio. I cluster sono interessati da questa vulnerabilità se: Viene utilizzato il plug-in di ammissione ServiceAccount. L'annotazione kubernetes.io/enforce-mountable-secrets viene utilizzata da un account di servizio. Questa annotazione non viene aggiunta per impostazione predefinita. I pod utilizzano container temporanei.

Medio

GKE su VMware

Aggiornamento: 11/08/2023

Descrizione

Gravità

In Kubernetes sono stati scoperti due nuovi problemi di sicurezza che potrebbero consentire agli utenti di lanciare contenitori che aggirino le restrizioni dei criteri quando utilizzano contenitori effimeri e ImagePolicyWebhook (CVE-2023-2727) o il plug-in di ammissione ServiceAccount (CVE-2023-2728) Anthos on VMware non utilizza ImagePolicyWebhook e non è interessato da CVE-2023-2727. Tutte le versioni di Anthos on VMware sono potenzialmente vulnerabili a CVE-2023-2728. Che cosa devo fare? Aggiornamento del 11/08/2023: le seguenti versioni di GKE on VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster di amministrazione e utente a una delle seguenti versioni di GKE on VMware: 1.13.10 1.14.6 1.15.3 Nota: a breve verranno rilasciate le versioni con patch di Anthos su VMware. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di Anthos on VMware. Quali vulnerabilità vengono affrontate? Con la vulnerabilità CVE-2023-2727, gli utenti potrebbero essere in grado di avviare container utilizzando immagini limitate da ImagePolicyWebhook quando utilizzano container temporanei. I cluster Kubernetes sono interessati solo se il plug-in di ammissione ImagePolicyWebhook viene utilizzato insieme a container effimeri. Questa CVE può essere mitigata anche utilizzando webhook di convalida, come Gatekeeper e Kyverno, per applicare le stesse limitazioni. Nella vulnerabilità CVE-2023-2728, gli utenti potrebbero essere in grado di avviare contenitori che aggirano il criterio dei secret montabili applicato dal plug-in di ammissione del servizio account quando vengono utilizzati contenitori effimeri. Il criterio garantisce che i pod in esecuzione con un account di servizio possano fare riferimento solo ai secret specificati nel campo dei secret dell'account di servizio. I cluster sono interessati da questa vulnerabilità se: Viene utilizzato il plug-in di ammissione ServiceAccount. L'annotazione kubernetes.io/enforce-mountable-secrets viene utilizzata da un account di servizio. Questa annotazione non viene aggiunta per impostazione predefinita. I pod utilizzano container temporanei.

Medio

GKE su AWS

Aggiornamento: 11/08/2023

Descrizione

Gravità

In Kubernetes sono stati scoperti due nuovi problemi di sicurezza che potrebbero consentire agli utenti di lanciare container che aggirino le restrizioni dei criteri quando utilizzano container temporanei e ImagePolicyWebhook (CVE-2023-2727) o il plug-in di ammissione ServiceAccount (CVE-2023-2728) Anthos on AWS non utilizza ImagePolicyWebhook e non è interessato da CVE-2023-2727. Tutte le versioni di Anthos su AWS sono potenzialmente vulnerabili a CVE-2023-2728. Che cosa devo fare? Aggiornamento del 11/08/2023: la seguente versione di GKE su AWS è stata aggiornata con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei nodi alla seguente versione di GKE su AWS: 1.15.2 Nota: a breve verranno rilasciate le versioni con patch di Anthos su AWS. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di Anthos on VMware. Quali vulnerabilità vengono affrontate? Con la vulnerabilità CVE-2023-2727, gli utenti potrebbero essere in grado di avviare container utilizzando immagini limitate da ImagePolicyWebhook quando utilizzano container temporanei. I cluster Kubernetes sono interessati solo se il plug-in di ammissione ImagePolicyWebhook viene utilizzato insieme a container effimeri. Questa CVE può essere mitigata anche utilizzando webhook di convalida, come Gatekeeper e Kyverno, per applicare le stesse limitazioni. Nella vulnerabilità CVE-2023-2728, gli utenti potrebbero essere in grado di avviare contenitori che aggirano il criterio dei secret montabili applicato dal plug-in di ammissione del servizio account quando vengono utilizzati contenitori effimeri. Il criterio garantisce che i pod in esecuzione con un account di servizio possano fare riferimento solo ai secret specificati nel campo dei secret dell'account di servizio. I cluster sono interessati da questa vulnerabilità se: Viene utilizzato il plug-in di ammissione ServiceAccount. L'annotazione kubernetes.io/enforce-mountable-secrets viene utilizzata da un account di servizio. Questa annotazione non viene aggiunta per impostazione predefinita. I pod utilizzano container temporanei.

Medio

GKE su Azure

Aggiornamento: 11/08/2023

Descrizione

Gravità

In Kubernetes sono stati scoperti due nuovi problemi di sicurezza che potrebbero consentire agli utenti di lanciare contenitori che aggirano le restrizioni dei criteri quando utilizzano contenitori effimeri e ImagePolicyWebhook (CVE-2023-2727) o il plug-in di ammissione ServiceAccount (CVE-2023-2728) Anthos on Azure non utilizza ImagePolicyWebhook e non è interessato da CVE-2023-2727. Tutte le versioni di Anthos on Azure sono potenzialmente vulnerabili a CVE-2023-2728. Che cosa devo fare? Aggiornamento del 11/08/2023: la seguente versione di GKE su Azure è stata aggiornata con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei nodi alla seguente versione di GKE su Azure: 1.15.2 Nota: a breve verranno rilasciate le versioni con patch di Anthos on Azure. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di Anthos on Azure. Quali vulnerabilità vengono affrontate? Con la vulnerabilità CVE-2023-2727, gli utenti potrebbero essere in grado di avviare container utilizzando immagini limitate da ImagePolicyWebhook quando utilizzano container temporanei. I cluster Kubernetes sono interessati solo se il plug-in di ammissione ImagePolicyWebhook viene utilizzato insieme a container effimeri. Questa CVE può essere mitigata anche utilizzando webhook di convalida, come Gatekeeper e Kyverno, per applicare le stesse limitazioni. Nella vulnerabilità CVE-2023-2728, gli utenti potrebbero essere in grado di avviare contenitori che aggirano il criterio dei secret montabili applicato dal plug-in di ammissione del servizio account quando vengono utilizzati contenitori effimeri. Il criterio garantisce che i pod in esecuzione con un account di servizio possano fare riferimento solo ai secret specificati nel campo dei secret dell'account di servizio. I cluster sono interessati da questa vulnerabilità se: Viene utilizzato il plug-in di ammissione ServiceAccount. L'annotazione kubernetes.io/enforce-mountable-secrets viene utilizzata da un account di servizio. Questa annotazione non viene aggiunta per impostazione predefinita. I pod utilizzano container temporanei.

Medio

GKE su Bare Metal

Aggiornamento: 11/08/2023

Descrizione

Gravità

In Kubernetes sono stati scoperti due nuovi problemi di sicurezza che potrebbero consentire agli utenti di lanciare container che aggirino le restrizioni dei criteri quando utilizzano container temporanei e ImagePolicyWebhook (CVE-2023-2727) o il plug-in di ammissione dell'account di servizio (CVE-2023-2728) Anthos on Bare Metal non utilizza ImagePolicyWebhook e non è interessato da CVE-2023-2727. Tutte le versioni di Anthos on Bare Metal sono potenzialmente vulnerabili a CVE-2023-2728. Che cosa devo fare? Aggiornamento del 11/08/2023: le seguenti versioni di Google Distributed Cloud Virtual for Bare Metal sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei nodi a una delle seguenti versioni di Google Distributed Cloud Virtual for Bare Metal: 1.13.9 1.14.7 1.15.3 Nota: a breve verranno rilasciate le versioni con patch di Anthos on Bare Metal. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di Anthos on VMware. Quali vulnerabilità vengono affrontate? Con la vulnerabilità CVE-2023-2727, gli utenti potrebbero essere in grado di avviare container utilizzando immagini limitate da ImagePolicyWebhook quando utilizzano container temporanei. I cluster Kubernetes sono interessati solo se il plug-in di ammissione ImagePolicyWebhook viene utilizzato insieme a container effimeri. Questa CVE può essere mitigata anche utilizzando webhook di convalida, come Gatekeeper e Kyverno, per applicare le stesse limitazioni. Nella vulnerabilità CVE-2023-2728, gli utenti potrebbero essere in grado di avviare contenitori che aggirano il criterio dei secret montabili applicato dal plug-in di ammissione del servizio account quando vengono utilizzati contenitori effimeri. Il criterio garantisce che i pod in esecuzione con un account di servizio possano fare riferimento solo ai secret specificati nel campo dei secret dell'account di servizio. I cluster sono interessati da questa vulnerabilità se: Viene utilizzato il plug-in di ammissione ServiceAccount. L'annotazione kubernetes.io/enforce-mountable-secrets viene utilizzata da un account di servizio. Questa annotazione non viene aggiunta per impostazione predefinita. I pod utilizzano container temporanei.

Medio

GCP-2023-009

Pubblicato il: 06/06/2023
Riferimento: CVE-2023-2878

GKE

Descrizione

Gravità

È stata scoperta una nuova vulnerabilità (CVE-2023-2878) nel driver secrets-store-csi, in cui un attore con accesso ai log del driver potrebbe osservare i token dell'account di servizio. Questi token potrebbero quindi essere scambiati con fornitori di cloud esterni per accedere ai secret archiviati nelle soluzioni di vault cloud. GKE non è interessato da questa CVE. Che cosa devo fare? Anche se GKE non è interessato, se hai installato il componente secrets-store-csi-driver, devi aggiornare l'installazione con una versione con patch. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità CVE-2023-2878 è stata scoperta in secrets-store-csi-driver, dove un attore con accesso ai log del driver poteva osservare i token degli account di servizio. Questi token potrebbero quindi essere scambiati con fornitori di cloud esterni per accedere ai secret archiviati nelle soluzioni di vault cloud. I token vengono registrati solo quando TokenRequests è configurato nell'oggetto CSIDriver e il driver è impostato per l'esecuzione a livello di log 2 o superiore tramite il flag -v.

Nessuno

GKE su VMware

Descrizione

Gravità

È stata scoperta una nuova vulnerabilità (CVE-2023-2878) nel driver secrets-store-csi, in cui un attore con accesso ai log del driver potrebbe osservare i token dell'account di servizio. Questi token potrebbero quindi essere scambiati con fornitori di cloud esterni per accedere ai secret archiviati nelle soluzioni di vault cloud. GKE on VMware non è interessato da questa CVE. Che cosa devo fare? Anche se GKE su VMware non è interessato, se hai installato il componente secrets-store-csi-driver, devi aggiornare l'installazione con una versione con patch. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità CVE-2023-2878 è stata scoperta in secrets-store-csi-driver, dove un attore con accesso ai log del driver poteva osservare i token degli account di servizio. Questi token potrebbero quindi essere scambiati con fornitori di cloud esterni per accedere ai secret archiviati nelle soluzioni di vault cloud. I token vengono registrati solo quando TokenRequests è configurato nell'oggetto CSIDriver e il driver è impostato per l'esecuzione a livello di log 2 o superiore tramite il flag -v.

Nessuno

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS È stata scoperta una nuova vulnerabilità (CVE-2023-2878) nel driver secrets-store-csi, in cui un attore con accesso ai log del driver potrebbe osservare i token dell'account di servizio. Questi token potrebbero quindi essere scambiati con fornitori di cloud esterni per accedere ai secret archiviati nelle soluzioni di vault cloud. GKE su AWS non è interessato da questa CVE. Che cosa devo fare? Anche se GKE su AWS non è interessato, se hai installato il componente secrets-store-csi-driver, devi aggiornare l'installazione con una versione con patch. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità CVE-2023-2878 è stata scoperta in secrets-store-csi-driver, dove un attore con accesso ai log del driver poteva osservare i token degli account di servizio. Questi token potrebbero quindi essere scambiati con fornitori di cloud esterni per accedere ai secret archiviati nelle soluzioni di vault cloud. I token vengono registrati solo quando TokenRequests è configurato nell'oggetto CSIDriver e il driver è impostato per l'esecuzione a livello di log 2 o superiore tramite il flag -v.

Nessuno

GKE su Azure

Descrizione

Gravità

È stata scoperta una nuova vulnerabilità (CVE-2023-2878) nel driver secrets-store-csi, in cui un attore con accesso ai log del driver potrebbe osservare i token dell'account di servizio. Questi token potrebbero quindi essere scambiati con fornitori di cloud esterni per accedere ai secret archiviati nelle soluzioni di vault cloud. GKE su Azure non è interessato da questa CVE Che cosa devo fare? Anche se GKE su Azure non è interessato, se hai installato il componente secrets-store-csi-driver, devi aggiornare l'installazione con una versione con patch. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità CVE-2023-2878 è stata scoperta in secrets-store-csi-driver, dove un attore con accesso ai log del driver poteva osservare i token degli account di servizio. Questi token potrebbero quindi essere scambiati con fornitori di cloud esterni per accedere ai secret archiviati nelle soluzioni di vault cloud. I token vengono registrati solo quando TokenRequests è configurato nell'oggetto CSIDriver e il driver è impostato per l'esecuzione a livello di log 2 o superiore tramite il flag -v.

Nessuno

GKE su Bare Metal

Descrizione

Gravità

È stata scoperta una nuova vulnerabilità (CVE-2023-2878) nel driver secrets-store-csi, in cui un attore con accesso ai log del driver potrebbe osservare i token dell'account di servizio. Questi token potrebbero quindi essere scambiati con fornitori di cloud esterni per accedere ai secret archiviati nelle soluzioni di vault cloud. GKE on Bare Metal non è interessato da questa CVE. Che cosa devo fare? Anche se GKE on Bare Metal non è interessato, se hai installato il componente secrets-store-csi-driver, devi aggiornare l'installazione con una versione con patch. Quali vulnerabilità vengono affrontate da questa patch? La vulnerabilità CVE-2023-2878 è stata scoperta in secrets-store-csi-driver, dove un attore con accesso ai log del driver poteva osservare i token degli account di servizio. Questi token potrebbero quindi essere scambiati con fornitori di cloud esterni per accedere ai secret archiviati nelle soluzioni di vault cloud. I token vengono registrati solo quando TokenRequests è configurato nell'oggetto CSIDriver e il driver è impostato per l'esecuzione a livello di log 2 o superiore tramite il flag -v.

Nessuno

GCP-2023-008

Pubblicato il: 05/06/2023
Riferimento: CVE-2023-1872

GKE

Descrizione

Gravità

Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2023-1872) che può portare a un'escalation dei privilegi a root sul nodo. I cluster GKE Standard e Autopilot sono interessati. I cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire l'upgrade manuale del cluster e dei pool di nodi a una delle seguenti versioni di GKE: 1.22.17-gke.11400 1.23.17-gke.5600 1.24.13-gke.2500 1.25.9-gke.2300 1.26.5-gke.1200 Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi fino a quando la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate da questa patch? CVE-2023-1872 è una vulnerabilità di tipo use-after-free nel sottosistema io_uring del kernel Linux che può essere sfruttata per eseguire l'escalation dei privilegi locali. La funzione io_file_get_fixed non prevede la presenza di ctx->uring_lock, il che può portare a una vulnerabilità di tipo use-after-free a causa di una race condition con i file corretti che non vengono registrati.

Alta

GKE su VMware

Descrizione

Gravità

Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2023-1872) che può portare a un'escalation dei privilegi a root sul nodo. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GKE su VMware. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su VMware. Quali vulnerabilità vengono affrontate da questa patch? CVE-2023-1872 è una vulnerabilità di tipo use-after-free nel sottosistema io_uring del kernel Linux che può essere sfruttata per eseguire l'escalation dei privilegi locali. La funzione io_file_get_fixed non prevede la presenza di ctx->uring_lock, il che può portare a una vulnerabilità di tipo use-after-free a causa di una race condition con i file corretti che non vengono registrati.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2023-1872) che può portare a un'escalation dei privilegi a root sul nodo. Che cosa devo fare? Le seguenti versioni di GKE su AWS sono state aggiornate con il codice per correggere queste vulnerabilità: 1.15.1 Quali vulnerabilità vengono affrontate da questa patch? CVE-2023-1872 è una vulnerabilità di tipo use-after-free nel sottosistema io_uring del kernel Linux che può essere sfruttata per eseguire l'escalation dei privilegi locali. La funzione io_file_get_fixed non prevede la presenza di ctx->uring_lock, il che può portare a una vulnerabilità di tipo use-after-free a causa di una race condition con i file corretti che non vengono registrati.

Alta

GKE su Azure

Descrizione

Gravità

Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2023-1872) che può portare a un'escalation dei privilegi a root sul nodo. Che cosa devo fare? Le seguenti versioni di GKE su Azure sono state aggiornate con il codice per correggere queste vulnerabilità: 1.15.1 Quali vulnerabilità vengono affrontate da questa patch? CVE-2023-1872 è una vulnerabilità di tipo use-after-free nel sottosistema io_uring del kernel Linux che può essere sfruttata per eseguire l'escalation dei privilegi locali. La funzione io_file_get_fixed non prevede la presenza di ctx->uring_lock, il che può portare a una vulnerabilità di tipo use-after-free a causa di una race condition con i file corretti che non vengono registrati.

Alta

GKE su Bare Metal

Descrizione	Gravità
Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2023-1872) che può portare a un'escalation dei privilegi a root sul nodo. GKE on Bare Metal non è interessato da questa CVE. Che cosa devo fare? Non occorre alcun intervento.	Nessuno

GCP-2023-005

Pubblicato: 18 maggio 2023
Aggiornato: 6 giugno 2023
Riferimento: CVE-2023-1281, CVE-2023-1829

Aggiornamento del 06/06/2023: le nuove versioni di GKE sono state aggiornate per includere le versioni più recenti di Ubuntu che applicano patch a CVE-2023-1281 e CVE-2023-1829.

GKE

Aggiornamento: 06/06/2023

Descrizione

Gravità

Nel kernel di Linux sono state scoperte due nuove vulnerabilità (CVE-2023-1281, CVE-2023-1829) che possono portare a un'escalation dei privilegi a root sul nodo. I cluster GKE Standard sono interessati. I cluster GKE Autopilot e i cluster che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 06/06/2023: sono disponibili le versioni con patch di Ubuntu. Le seguenti versioni di GKE sono state aggiornate per includere le versioni più recenti di Ubuntu che correggono le vulnerabilità CVE-2023-1281 e CVE-2023-1829: 1.23.17-gke.6800 1.24.14-gke.1200 1.25.10-gke.1200 1.26.5-gke.1200 Le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire l'upgrade manuale del cluster e dei pool di nodi a una delle seguenti versioni di GKE: 1.22.17-gke.8100 1.23.17-gke.2300 1.24.12-gke.1100 1.25.8-gke.1000 1.26.3-gke.1000 Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi fino a quando la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate da questa patch? Sia CVE-2023-1281 che CVE-2023-1829 sono vulnerabilità di tipo use-after-free nel filtro dell'indice di controllo del traffico (tcindex) del kernel Linux che possono essere sfruttate per eseguire l'escalation dei privilegi locali. Con CVE-2023-1829, la funzione tcindex_delete non disattiva correttamente i filtri in alcuni casi, il che può portare in seguito a una doppia liberazione di una struttura di dati. Nella vulnerabilità CVE-2023-1281, l'area di hash imperfetta può essere aggiornata durante il transito dei pacchetti, causando un uso dopo svuotamento quando viene chiamato tcf_exts_exec() con tcf_ext distrutto. Un utente malintenzionato locale può utilizzare questa vulnerabilità per elevare i propri privilegi a quelli di root.

Alta

GKE su VMware

Descrizione

Gravità

Nel kernel di Linux sono state scoperte due nuove vulnerabilità (CVE-2023-1281, CVE-2023-1829) che possono portare a un'escalation dei privilegi a root sul nodo. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GKE su VMware. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su VMware. Quali vulnerabilità vengono affrontate da questa patch? Sia CVE-2023-1281 che CVE-2023-1829 sono vulnerabilità use-after-free nel filtro dell'indice di controllo del traffico (tcindex) del kernel Linux che possono essere sfruttate per eseguire l'escalation dei privilegi locali. Con CVE-2023-1829, la funzione tcindex_delete non disattiva correttamente i filtri in alcuni casi, il che può portare in seguito a una doppia liberazione di una struttura di dati. Nella vulnerabilità CVE-2023-1281, l'area di hash imperfetta può essere aggiornata durante il transito dei pacchetti, causando un uso dopo svuotamento quando viene chiamato tcf_exts_exec() con tcf_ext distrutto. Un utente malintenzionato locale può utilizzare questa vulnerabilità per elevare i propri privilegi a quelli di root.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte due nuove vulnerabilità (CVE-2023-1281, CVE-2023-1829) che possono portare a un'escalation dei privilegi a root sul nodo. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GKE su AWS. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su AWS. Quali vulnerabilità vengono affrontate da questa patch? Sia CVE-2023-1281 che CVE-2023-1829 sono vulnerabilità use-after-free nel filtro dell'indice di controllo del traffico (tcindex) del kernel Linux che possono essere sfruttate per eseguire l'escalation dei privilegi locali. Con CVE-2023-1829, la funzione tcindex_delete non disattiva correttamente i filtri in alcuni casi, il che può portare in seguito a una doppia liberazione di una struttura di dati. Nella vulnerabilità CVE-2023-1281, l'area di hash imperfetta può essere aggiornata durante il transito dei pacchetti, causando un uso dopo svuotamento quando viene chiamato tcf_exts_exec() con tcf_ext distrutto. Un utente malintenzionato locale può utilizzare questa vulnerabilità per elevare i propri privilegi a quelli di root.

Alta

GKE su Azure

Descrizione

Gravità

Nel kernel di Linux sono state scoperte due nuove vulnerabilità (CVE-2023-1281, CVE-2023-1829) che possono portare a un'escalation dei privilegi a root sul nodo. Che cosa devo fare? Nota: a breve verranno rilasciate le versioni con patch di GKE su Azure. Questo bollettino sulla sicurezza verrà aggiornato quando saranno disponibili nuove versioni di GKE su Azure. Quali vulnerabilità vengono affrontate da questa patch? Sia CVE-2023-1281 che CVE-2023-1829 sono vulnerabilità use-after-free nel filtro dell'indice di controllo del traffico (tcindex) del kernel Linux che possono essere sfruttate per eseguire l'escalation dei privilegi locali. Con CVE-2023-1829, la funzione tcindex_delete non disattiva correttamente i filtri in alcuni casi, il che può portare in seguito a una doppia liberazione di una struttura di dati. Nella vulnerabilità CVE-2023-1281, l'area di hash imperfetta può essere aggiornata durante il transito dei pacchetti, causando un uso dopo svuotamento quando viene chiamato tcf_exts_exec() con tcf_ext distrutto. Un utente malintenzionato locale può utilizzare questa vulnerabilità per elevare i propri privilegi a quelli di root.

Alta

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte due nuove vulnerabilità (CVE-2023-1281, CVE-2023-1829) che possono portare a un'escalation dei privilegi a root sul nodo. GKE on Bare Metal non è interessato da questa CVE. Che cosa devo fare? Non occorre alcun intervento.	Nessuno

GCP-2023-003

Pubblicato: 11/04/2023
Aggiornato: 21/12/2023
Riferimento: CVE-2023-0240, CVE-2023-23586

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

GKE

Aggiornamento: 21-12-2023

Descrizione

Gravità

Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o se consenti CAP_NET_ADMIN. Nel kernel Linux sono state scoperte due nuove vulnerabilità, CVE-2023-0240 e CVE-2023-23586, che potrebbero consentire a un utente senza privilegi di eseguire l'escalation dei privilegi. I cluster GKE, inclusi i cluster Autopilot, con COS che utilizzano il kernel Linux dalla versione 5.10 alla 5.10.162 sono interessati. I cluster GKE che utilizzano immagini Ubuntu o GKE Sandbox non sono interessati. Che cosa devo fare? Le seguenti versioni di GKE sono state aggiornate con il codice per correggere queste vulnerabilità. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire manualmente l'upgrade dei tuoi pool di nodi a una delle seguenti versioni GKE: 1.22.17-gke.4000 1.23.16-gke.1100 1.24.10-gke.1200 Una funzionalità recente dei canali di release ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi finché la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate da questa patch? Vulnerabilità 1 (CVE-2023-0240): una race condition in io_uring può portare a un attacco di escape da un container completo a root sul nodo. Sono interessate le versioni 5.10 del kernel di Linux fino alla 5.10.162. Vulnerabilità 2 (CVE-2023-23586): un uso dopo il rilascio (UAF) in io_uring/time_ns può portare a un'estrazione completa del contenitore in root sul nodo. Le versioni del kernel di Linux 5.10 sono interessate fino alla 5.10.162.

Alta

GKE su VMware

Descrizione

Gravità

Nel kernel di Linux sono state scoperte due nuove vulnerabilità, CVE-2023-0240 e CVE-2023-23586, che potrebbero consentire a un utente senza privilegi di eseguire l'escalation dei privilegi. I cluster GKE on VMware con COS che utilizzano il kernel Linux 5.10 fino alla versione 5.10.162 sono interessati. I cluster GKE Enterprise che utilizzano immagini Ubuntu non sono interessati. Che cosa devo fare? Le seguenti versioni di GKE on VMware sono state aggiornate con il codice per correggere queste vulnerabilità: 1.12.6 1.13.5 Quali vulnerabilità vengono affrontate da questa patch? Vulnerabilità 1 (CVE-2023-0240): una race condition in io_uring può portare a un'estrazione completa del container in root sul nodo. Sono interessate le versioni 5.10 del kernel di Linux fino alla 5.10.162. Vulnerabilità 2 (CVE-2023-23586): un uso dopo il rilascio (UAF) in io_uring/time_ns può portare a un breakout del contenitore completo in root sul nodo. Sono interessate le versioni 5.10 del kernel di Linux fino alla 5.10.162.

Alta

GKE su AWS

Descrizione	Gravità
Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte due nuove vulnerabilità, CVE-2023-0240 e CVE-2023-23586, che potrebbero consentire a un utente senza privilegi di eseguire l'escalation dei privilegi. GKE su AWS non è interessato da queste CVE. Che cosa devo fare? Non occorre alcun intervento.	Nessuno

GKE su Azure

Descrizione	Gravità
Nel kernel di Linux sono state scoperte due nuove vulnerabilità, CVE-2023-0240 e CVE-2023-23586, che potrebbero consentire a un utente senza privilegi di eseguire l'escalation dei privilegi. GKE su Azure non è interessato da queste CVE Che cosa devo fare? Non occorre alcun intervento.	Nessuno

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte due nuove vulnerabilità, CVE-2023-0240 e CVE-2023-23586, che potrebbero consentire a un utente senza privilegi di eseguire l'escalation dei privilegi. GKE on Bare Metal non è interessato da queste CVE. Che cosa devo fare? Non occorre alcun intervento.	Nessuno

GCP-2023-001

Pubblicato il: 01/03/2023
Aggiornamento: 21/12/2023
Riferimento: CVE-2022-4696

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

GKE

Descrizione

Gravità

Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o se consenti CAP_NET_ADMIN. Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2022-4696) che può portare a un'escalation dei privilegi sul nodo. I cluster GKE, inclusi i cluster Autopilot, sono interessati. I cluster GKE che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire manualmente l'upgrade dei tuoi cluster e pool di nodi a una delle seguenti versioni di GKE: 1.22.17-gke.3100 1.23.16-gke.200 1.24.9-gke.3200 Una funzionalità recente dei canali di release ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi finché la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-4696 è stato rilevato un difetto di uso dopo svuotamento in io_uring e ioring_op_splice nel kernel Linux. Questa vulnerabilità consente a un utente locale di creare un'escalation dei privilegi locale.

Alta

GKE su VMware

Descrizione

Gravità

Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2022-4696) che può portare a un'escalation dei privilegi sul nodo. GKE su VMware con versioni 1.12 e 1.13 sono interessati. GKE su VMware che esegue la versione 1.14 o successive non è interessato. Che cosa devo fare? Le seguenti versioni di GKE on VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei cluster di amministrazione e utente a una delle seguenti versioni di GKE on VMware: 1.12.5 1.13.5 Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-4696 è stato rilevato un difetto di uso dopo svuotamento in io_uring e ioring_op_splice nel kernel Linux. Questa vulnerabilità consente a un utente locale di creare un'escalation dei privilegi locale.

Alta

GKE su AWS

Descrizione	Gravità
Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2022-4696) che può portare a un'escalation dei privilegi sul nodo. GKE su AWS non è interessato da questa vulnerabilità. Che cosa devo fare? Non è richiesta alcuna azione da parte tua.	Nessuno

GKE su Azure

Descrizione	Gravità
Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2022-4696) che può portare a un'escalation dei privilegi sul nodo. GKE su Azure non è interessato da questa vulnerabilità. Che cosa devo fare? Non è richiesta alcuna azione da parte tua.	Nessuno

GKE su Bare Metal

Descrizione	Gravità
Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2022-4696) che può portare a un'escalation dei privilegi sul nodo. GKE on Bare Metal non è interessato da questa vulnerabilità. Che cosa devo fare? Non è richiesta alcuna azione da parte tua.	Nessuno

GCP-2022-026

Pubblicato: 11/01/2023
Riferimento: CVE-2022-3786, CVE-2022-3602

GKE

Descrizione

Gravità

In OpenSSL v3.0.6 sono state scoperte due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) che possono potenzialmente causare un arresto anomalo. Sebbene sia stata assegnata una valutazione Alta nel database NVD, gli endpoint GKE utilizzano boringSSL o una versione precedente di OpenSSL che non è interessata, pertanto la valutazione è stata ridotta a Media per GKE. Che cosa devo fare? Le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità: 1.25.4-gke.1600 1.24.8-gke.401 1.23.14-gke.401 1.22.16-gke.1300 1.21.14-gke.14100 Una funzionalità recente dei canali di release ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi fino a quando la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-3786 e CVE-2022-3602, è possibile attivare un overrun del buffer nella verifica del certificato X.509 che può causare un arresto anomalo che si tradurrà in un denial of service. Per essere sfruttata, questa vulnerabilità richiede che un'autorità di certificazione abbia firmato un certificato dannoso o che un'applicazione continui la verifica del certificato nonostante la mancata creazione di un percorso per un emittente attendibile.

Medio

GKE su VMware

Descrizione	Gravità
In OpenSSL 3.0.6 sono state scoperte due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) che possono potenzialmente causare un arresto anomalo. Che cosa devo fare? GKE on VMware non è interessato da questa CVE perché non utilizza una versione di OpenSSL interessata. Quali vulnerabilità vengono affrontate da questa patch? Non occorre alcun intervento.	Nessuno

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS In OpenSSL 3.0.6 sono state scoperte due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) che possono potenzialmente causare un arresto anomalo. Che cosa devo fare? GKE su AWS non è interessato da questa CVE perché non utilizza una versione di OpenSSL interessata. Quali vulnerabilità vengono affrontate da questa patch? Non occorre alcun intervento.

Nessuno

GKE su Azure

Descrizione	Gravità
In OpenSSL 3.0.6 sono state scoperte due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) che possono potenzialmente causare un arresto anomalo. Che cosa devo fare? GKE su Azure non è interessato da questa CVE perché non utilizza una versione di OpenSSL interessata. Quali vulnerabilità vengono affrontate da questa patch? Non occorre alcun intervento.	Nessuno

GKE su Bare Metal

Descrizione	Gravità
In OpenSSL 3.0.6 sono state scoperte due nuove vulnerabilità (CVE-2022-3786 e CVE-2022-3602) che possono potenzialmente causare un arresto anomalo. Che cosa devo fare? GKE on Bare Metal non è interessato da questa CVE perché non utilizza una versione di OpenSSL interessata. Quali vulnerabilità vengono affrontate da questa patch? Non occorre alcun intervento.	Nessuno

GCP-2022-025

Pubblicato il: 21/12/2022
Aggiornato il: 19/01/2023, 21/12/2023
Riferimento: CVE-2022-2602

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 19/01/2023: è disponibile la versione GKE 1.21.14-gke.14100.

GKE

Aggiornamento: 19/01/2023

Descrizione

Gravità

Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o se consenti CAP_NET_ADMIN. È stata scoperta una nuova vulnerabilità (CVE-2022-2602) nel sottosistema io_uring del kernel Linux che può consentire a un utente malintenzionato di eseguire potenzialmente codice arbitrario. I cluster GKE, inclusi i cluster Autopilot, sono interessati. I cluster GKE che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 19/01/2023: è disponibile la versione 1.21.14-gke.14100. Esegui l'upgrade dei node pool a questa versione o a una successiva. Le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità in una release futura. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire manualmente l'upgrade dei pool di nodi a una delle seguenti versioni di GKE: Container-Optimized OS: 1.22.16-gke.1300 e versioni successive 1.23.14-gke.401 e versioni successive 1.24.7-gke.900 e versioni successive 1.25.4-gke.1600 e versioni successive Ubuntu: 1.22.15-gke.2500 e versioni successive 1.23.13-gke.900 e versioni successive 1.24.7-gke.900 e versioni successive 1.25.3-gke.800 e versioni successive Nota: le patch 1.21 sono in attesa di implementazione. Aggiorneremo questo bollettino quando la nuova versione sarà disponibile. Una funzionalità recente dei canali di release ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi finché la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-2602, una race condition tra l'elaborazione delle richieste io_uring e garbage collection del socket Unix può causare una vulnerabilità di uso dopo svuotamento. Un malintenzionato locale potrebbe utilizzarlo per attivare un attacco di tipo Denial of Service o eventualmente eseguire codice arbitrario.

Alta

GKE su VMware

Descrizione

Gravità

È stata scoperta una nuova vulnerabilità (CVE-2022-2602) nel sottosistema io_uring del kernel Linux che può consentire a un utente malintenzionato di eseguire potenzialmente codice arbitrario. Sono interessate le versioni 1.11, 1.12 e 1.13 di GKE on VMware. Che cosa devo fare? Esegui l'upgrade del cluster a una versione con patch. Le seguenti versioni di GKE su VMware contengono codice che corregge questa vulnerabilità: 1.13.2 1.12.4 1.11.5 Nota: alcune di queste versioni potrebbero non essere disponibili immediatamente e diventeranno disponibili nelle release future. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-2602, una race condition tra l'elaborazione delle richieste io_uring e garbage collection del socket Unix può causare una vulnerabilità di uso dopo svuotamento. Un malintenzionato locale potrebbe utilizzarlo per attivare un attacco di tipo Denial of Service o eventualmente eseguire codice arbitrario.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS È stata scoperta una nuova vulnerabilità (CVE-2022-2602) nel sottosistema io_uring del kernel Linux che può consentire a un utente malintenzionato di eseguire potenzialmente codice arbitrario. Che cosa devo fare? Le seguenti versioni attuali e di generazione precedente di GKE su AWS sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei nodi a una delle seguenti versioni di GKE su AWS: Generazione attuale: 1.22.15-gke.100 1.23.11-gke.300 1.24.5-gke.200 Generazione precedente: 1.22.15-gke.1400 1.23.12-gke.1400 1.24.6-gke.1300 Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-2602, una race condition tra l'elaborazione delle richieste io_uring e garbage collection della socket Unix può causare una vulnerabilità di uso dopo svuotamento. Un malintenzionato locale potrebbe utilizzarlo per attivare un attacco di tipo Denial of Service o eventualmente eseguire codice arbitrario.

Alta

GKE su Azure

Descrizione

Gravità

È stata scoperta una nuova vulnerabilità (CVE-2022-2602) nel sottosistema io_uring del kernel Linux che può consentire a un utente malintenzionato di eseguire potenzialmente codice arbitrario. Che cosa devo fare? Le seguenti versioni di GKE su Azure sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei nodi a una delle seguenti versioni di GKE su Azure: 1.22.15-gke.100 1.23.11-gke.300 1.24.5-gke.200 Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-2602, una race condition tra l'elaborazione delle richieste io_uring e garbage collection della socket Unix può causare una vulnerabilità di uso dopo svuotamento. Un malintenzionato locale potrebbe utilizzarlo per attivare un attacco di tipo Denial of Service o eventualmente eseguire codice arbitrario.

Alta

GKE su Bare Metal

Descrizione	Gravità
È stata scoperta una nuova vulnerabilità (CVE-2022-2602) nel sottosistema io_uring del kernel Linux che può consentire a un utente malintenzionato di eseguire potenzialmente codice arbitrario. GKE on Bare Metal non è interessato da questa CVE perché non include un sistema operativo nella sua distribuzione. Che cosa devo fare? Non occorre alcun intervento.	Nessuno

GCP-2022-024

Pubblicato: 09/11/2022
Aggiornato: 19/01/2023
Riferimento: CVE-2022-2585, CVE-2022-2588

Aggiornamento del 19/01/2023: è disponibile la versione GKE 1.21.14-gke.14100.
Aggiornamento del 16/12/2022: sono state aggiunte le versioni delle patch riviste per GKE e GKE su VMware.

GKE

Aggiornamento: 19/01/2023

Descrizione

Gravità

Nel kernel di Linux sono state scoperte due nuove vulnerabilità (CVE-2022-2585 e CVE-2022-2588) che possono portare a un'estrazione completa del container in root sul nodo. I cluster GKE, inclusi i cluster Autopilot, sono interessati. I cluster GKE che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 19/01/2023: è disponibile la versione 1.21.14-gke.14100. Esegui l'upgrade dei node pool a questa versione o a una successiva. Aggiornamento del 16/12/2022: una versione precedente del bollettino è stata rivista a causa di una regressione della release. Esegui l'upgrade manuale dei tuoi pool di nodi a una delle seguenti versioni di GKE: 1.22.16-gke.1300 e versioni successive 1.23.14-gke.401 e versioni successive 1.24.7-gke.900 e versioni successive 1.25.4-gke.1600 e versioni successive Nota: la versione 1.21.14-gke.9500 è in attesa di implementazione e potrebbe essere sostituita da un numero di versione superiore. Aggiorneremo questo bollettino se sarà disponibile un numero di versione superiore. Le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai attivato l'upgrade automatico dei nodi, ti consigliamo di eseguire manualmente l'upgrade dei pool di nodi a una delle seguenti versioni di GKE: 1.21.14-gke.9500 1.24.7-gke.900 A breve saranno disponibili gli aggiornamenti per GKE 1.22, 1.23 e 1.25. Questo bollettino sulla sicurezza verrà aggiornato non appena saranno disponibili. Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi fino a quando la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-2585, la pulizia non corretta dei timer nel timer della CPU posix consente uno sfruttamento di tipo use-after-free a seconda di come vengono creati ed eliminati i timer. Con CVE-2022-2588 è stato rilevato un errore di uso dopo svuotamento in route4_change nel kernel di Linux. Questa vulnerabilità consente a un utente locale di arrestare il sistema e potenzialmente causare un'escalation dei privilegi locali.

Alta

GKE su VMware

Aggiornamento: 16-12-2022

Descrizione

Gravità

Nel kernel di Linux sono state scoperte due nuove vulnerabilità (CVE-2022-2585 e CVE-2022-2588) che possono portare a un'estrazione completa del container in root sul nodo. Sono interessate le versioni 1.13, 1.12 e 1.11 di GKE on VMware. Che cosa devo fare? Aggiornamento del 16/12/2022: le seguenti versioni di GKE su VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei cluster di amministrazione e utente a una delle seguenti versioni di GKE on VMware: 1.13.2 1.12.4 1.11.6 Nota: alcune di queste versioni potrebbero non essere disponibili immediatamente e diventeranno disponibili nelle release future. Nota: a breve verranno rilasciate le versioni di GKE su VMware che contengono le patch di Container-Optimized OS. Questo bollettino sulla sicurezza verrà aggiornato quando le versioni di GKE su VMware saranno disponibili per il download. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-2585, la pulizia non corretta dei timer nel timer della CPU posix consente uno sfruttamento di tipo use-after-free a seconda di come vengono creati ed eliminati i timer. Con CVE-2022-2588 è stato rilevato un errore di uso dopo svuotamento in route4_change nel kernel di Linux. Questa vulnerabilità consente a un utente locale di arrestare il sistema e potenzialmente causare un'escalation dei privilegi locali.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux sono state scoperte due nuove vulnerabilità (CVE-2022-2585 e CVE-2022-2588) che possono portare a un'estrazione completa del container in root sul nodo. Le seguenti versioni di Kubernetes su AWS potrebbero essere interessate: 1.23: versioni precedenti a 1.23.9-gke.800. Le versioni secondarie più recenti non sono interessate 1.22: versioni precedenti a 1.22.12-gke.1100. Le versioni secondarie più recenti non sono interessate La versione 1.24 di Kubernetes non è interessata. Che cosa devo fare? Ti consigliamo di eseguire l'upgrade dei cluster a una delle seguenti versioni di AWS Kubernetes: 1.23: una versione successiva alla v1.23.9-gke.800 1.22: una versione successiva a 1.22.12-gke-1100 Quali vulnerabilità vengono affrontate? Con CVE-2022-2585, la pulizia non corretta dei timer nel timer della CPU posix consente uno sfruttamento di tipo use-after-free a seconda di come vengono creati ed eliminati i timer. Con CVE-2022-2588 è stato rilevato un errore di uso dopo svuotamento in route4_change nel kernel di Linux. Questa vulnerabilità consente a un utente locale di arrestare il sistema e potenzialmente causare un'escalation dei privilegi locali.

Alta

GKE su Azure

Descrizione

Gravità

Nel kernel di Linux sono state scoperte due nuove vulnerabilità (CVE-2022-2585 e CVE-2022-2588) che possono portare a un'estrazione completa del container in root sul nodo. Potrebbero essere interessate le seguenti versioni di Kubernetes su Azure: 1.23: versioni precedenti a 1.23.9-gke.800. Le versioni secondarie più recenti non sono interessate. 1.22: versioni precedenti a 1.22.12-gke.1100. Le versioni secondarie più recenti non sono interessate. La versione 1.24 di Kubernetes non è interessata. Che cosa devo fare? Ti consigliamo di eseguire l'upgrade dei cluster a una delle seguenti versioni di Azure Kubernetes: 1.23: una versione successiva alla v1.23.9-gke.800 1.22: una versione successiva a 1.22.12-gke-1100 Quali vulnerabilità vengono affrontate? Con CVE-2022-2585, la pulizia non corretta dei timer nel timer della CPU posix consente uno sfruttamento di tipo use-after-free a seconda di come vengono creati ed eliminati i timer. Con CVE-2022-2588 è stato rilevato un errore di uso dopo svuotamento in route4_change nel kernel di Linux. Questa vulnerabilità consente a un utente locale di arrestare il sistema e potenzialmente causare un'escalation dei privilegi locali.

Alta

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux sono state scoperte due nuove vulnerabilità (CVE-2022-2585 e CVE-2022-2588) che possono portare a un'estrazione completa del container in root sul nodo. GKE on Bare Metal non è interessato da questa CVE perché non include un sistema operativo nella sua distribuzione. Che cosa devo fare? Non occorre alcun intervento.	Nessuno

GCP-2022-023

Pubblicato il: 04/11/2022
Riferimento: CVE-2022-39278

GKE

Descrizione

Gravità

In Istio, utilizzato in Cloud Service Mesh, è stata scoperta una vulnerabilità di sicurezza (CVE-2022-39278) che consente a un malintenzionato di arrestare in modo anomalo il control plane. Che cosa devo fare? Google Kubernetes Engine (GKE) non viene fornito con Istio e non è interessato da questa vulnerabilità. Tuttavia, se hai installato separatamente Cloud Service Mesh o Istio sul tuo cluster GKE, consulta GCP-2022-020, il bollettino sulla sicurezza di Cloud Service Mesh relativo a questa CVE, per ulteriori informazioni.

Nessuno

GKE su VMware

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-39278, in Istio, che viene utilizzato in Cloud Service Mesh in GKE su VMware, che consente a un malintenzionato di arrestare in modo anomalo il piano di controllo di Istio. Che cosa devo fare? Le seguenti versioni di GKE on VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei cluster di amministrazione e utente a una delle seguenti versioni di GKE on VMware: 1.11.4 1.12.3 1.13.1 Quali vulnerabilità vengono affrontate da questa patch? Con la vulnerabilità CVE-2022-39278, il control plane di Istio, istiod, è vulnerabile a un errore di elaborazione della richiesta, che consente a un malintenzionato di inviare un messaggio appositamente creato che causa l'arresto anomalo del control plane quando il webhook di convalida di un cluster è esposto pubblicamente. Questo endpoint viene servito tramite la porta TLS 15017, ma non richiede alcuna autenticazione da parte dell'attaccante.

Alta

GKE su AWS

Descrizione	Gravità
Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS In Istio, utilizzato in Cloud Service Mesh, è stata scoperta una vulnerabilità di sicurezza (CVE-2022-39278) che consente a un malintenzionato di arrestare in modo anomalo il control plane. Che cosa devo fare? GKE su AWS non è interessato da questa vulnerabilità e non è richiesta alcuna azione.	Nessuno

GKE su Azure

Descrizione	Gravità
In Istio, utilizzato in Cloud Service Mesh, è stata scoperta una vulnerabilità di sicurezza (CVE-2022-39278) che consente a un malintenzionato di arrestare in modo anomalo il control plane. Che cosa devo fare? GKE su Azure non è interessato da questa vulnerabilità e non è necessaria alcuna azione.	Nessuno

GKE su Bare Metal

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-39278, in Istio, utilizzato in Cloud Service Mesh in GKE on Bare Metal, che consente a un malintenzionato di far crash il piano di controllo di Istio. Che cosa devo fare? Le seguenti versioni di GKE on Bare Metal sono state aggiornate con codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei cluster a una delle seguenti versioni di GKE on Bare Metal: 1.11.7 1.12.4 1.13.1 Quali vulnerabilità vengono affrontate da questa patch? Con la vulnerabilità CVE-2022-39278, il control plane di Istio, istiod, è vulnerabile a un errore di elaborazione della richiesta, che consente a un malintenzionato di inviare un messaggio appositamente creato che causa l'arresto anomalo del control plane quando il webhook di convalida di un cluster è esposto pubblicamente. Questo endpoint viene servito tramite la porta TLS 15017, ma non richiede alcuna autenticazione da parte dell'attaccante.

Alta

GCP-2022-022-updated

Pubblicato il: 08/12/2022
Riferimento: CVE-2022-20409

GKE

Aggiornato il: 14/12/2022

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2022-20409) che può portare a un'escalation dei privilegi locali. I cluster Google Kubernetes Engine (GKE) v1.22, v1.23 e v1.24, inclusi i cluster Autopilot, che utilizzano Container-Optimized OS v93 e 97 sono interessati. Le altre versioni GKE supportate non sono interessate. I cluster GKE che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 14/12/2022: una versione precedente del bollettino è stata rivista a causa di una regressione della release. Esegui l'upgrade manuale dei tuoi pool di nodi a una delle seguenti versioni di GKE: 1.22.15-gke.2500 e versioni successive 1.23.13-gke.900 e versioni successive 1.24.7-gke.900 e versioni successive Le seguenti versioni di GKE che utilizzano la versione 93 e 97 Container-Optimized OS sono state aggiornate con il codice per correggere questa vulnerabilità in una release futura. Per motivi di sicurezza, anche se hai abilitato gli upgrade automatici dei nodi, ti consigliamo di eseguire manualmente l'upgrade dei tuoi pool di nodi a una delle seguenti versioni di GKE: 1.22.15-gke.2300 e versioni successive 1.23.13-gke.700 e versioni successive 1.24.7-gke.700 e versioni successive Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. Questa funzionalità ti consente di proteggere i tuoi nodi finché la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-20409, il kernel Linux presenta una vulnerabilità in io_identity_cow del sottosistema io_uring. Esiste il rischio di danneggiamento della memoria a causa di una vulnerabilità di tipo Use-After-Free (UAF). Un malintenzionato locale potrebbe utilizzare questa corruzione della memoria per un attacco di tipo Denial of Service (arresto anomalo del sistema) o per eseguire codice arbitrario.

Alta

GKE su VMware

Aggiornato il: 14/12/2022

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2022-20409) che può portare all'escalation dei privilegi locali. Che cosa devo fare? Aggiornamento del 14/12/2022: le seguenti versioni di GKE su VMware per Ubuntu sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei nodi a una delle seguenti versioni di GKE su VMware: 1.13.1 e versioni successive 1.12.3 e versioni successive 1.11.4 e versioni successive Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-20409, il kernel Linux presenta una vulnerabilità in io_identity_cow del sottosistema io_uring. Esiste il rischio di danneggiamento della memoria a causa di una vulnerabilità di tipo Use-After-Free (UAF). Un malintenzionato locale potrebbe utilizzare questa corruzione della memoria per un attacco di tipo Denial of Service (arresto anomalo del sistema) o per eseguire codice arbitrario.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux è stata scoperta una nuova vulnerabilità, CVE-2022-20409, che potrebbe consentire a un utente senza privilegi di eseguire l'escalation al privilegio di esecuzione di sistema. Che cosa devo fare? Non è richiesta alcuna azione. GKE su AWS non utilizza le versioni interessate del kernel Linux. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-20409, il kernel Linux presenta una vulnerabilità in io_identity_cow del sottosistema io_uring. Esiste il rischio di danneggiamento della memoria a causa di una vulnerabilità di tipo Use-After-Free (UAF). Un malintenzionato locale potrebbe utilizzare questa corruzione della memoria per un attacco di tipo Denial of Service (arresto anomalo del sistema) o per eseguire codice arbitrario.

Nessuno

GKE su Azure

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità, CVE-2022-20409, che potrebbe consentire a un utente senza privilegi di eseguire l'escalation al privilegio di esecuzione di sistema. Che cosa devo fare? Non è richiesta alcuna azione. GKE su Azure non utilizza le versioni interessate del kernel Linux. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-20409, il kernel Linux presenta una vulnerabilità in io_identity_cow del sottosistema io_uring. Esiste il rischio di danneggiamento della memoria a causa di una vulnerabilità di tipo Use-After-Free (UAF). Un malintenzionato locale potrebbe utilizzare questa corruzione della memoria per un attacco di tipo Denial of Service (arresto anomalo del sistema) o per eseguire codice arbitrario.

Nessuno

GKE su Bare Metal

Descrizione	Gravità
Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2022-20409) che può portare all'escalation dei privilegi locali. Che cosa devo fare? Non è richiesta alcuna azione. GKE on Bare Metal non è interessato da questa CVE poiché non include un sistema operativo nella sua distribuzione.	Nessuno

GCP-2022-021

Pubblicato il: 27/10/2022
Aggiornato il: 19/01/2023, 21/12/2023
Riferimento: CVE-2022-3176

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 19/01/2023: è disponibile la versione GKE 1.21.14-gke.14100.
Aggiornamento del 15/12/2022: sono state aggiornate le informazioni sulla versione 1.21.14-gke.9400 di Google Kubernetes Engine, che è in attesa di implementazione e potrebbe essere sostituita da un numero di versione superiore.
Aggiornamento del 21/11/2022: sono state aggiunte le versioni delle patch per GKE su VMware, GKE su AWS e GKE su Azure.

GKE

Aggiornamento: 19-01-2023, 21-12-2023

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2022-3176) che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente non privilegiato di eseguire un attacco di estrazione completa del contenitore per ottenere l'accesso root sul nodo. Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o se consenti CAP_NET_ADMIN. I cluster Google Kubernetes Engine (GKE) 1.21, inclusi i cluster Autopilot, che utilizzano la versione 89 di Container-Optimized OS sono interessati. Le versioni successive di GKE non sono interessate. Sono interessati tutti i cluster Linux con Ubuntu. I cluster GKE che utilizzano GKE Sandbox non sono interessati. Che cosa devo fare? Aggiornamento del 19/01/2023: è disponibile la versione 1.21.14-gke.14100. Esegui l'upgrade dei node pool a questa versione o a una successiva. Aggiornamento del 15/12/2022: l'implementazione della versione 1.21.14-gke.9400 è in attesa e potrebbe essere sostituita da un numero di versione superiore. Aggiorneremo questa pagina quando la nuova versione sarà disponibile. Le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità in una release futura. Per motivi di sicurezza, anche se hai abilitato gli upgrade automatici dei nodi, ti consigliamo di eseguire manualmente l'upgrade dei pool di nodi a una delle seguenti versioni di GKE: Container-Optimized OS: 1.21.14-gke.7100 e versioni successive Ubuntu: 1.21.14-gke.9400 e versioni successive 1.22.15-gke.2400 e versioni successive 1.23.13-gke.800 e versioni successive 1.24.7-gke.800 e versioni successive 1.25.3-gke.700 e versioni successive Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. Questa funzionalità ti consente di proteggere i tuoi nodi finché la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-3176, il kernel Linux presenta una vulnerabilità nel sottosistema io_uring. La mancata gestione di POLLFREE può portare a exploit di tipo Use-After-Free (UAF) che possono essere utilizzati per l'escalation dei privilegi.

Alta

GKE su VMware

Aggiornamento: 21/11/2022

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2022-3176) che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente non privilegiato di eseguire un'estrazione completa del contenitore per ottenere l'accesso root sul nodo. Che cosa devo fare? Le versioni di GKE on VMware con Container-Optimized OS non sono interessate. Aggiornamento del 21/11/2022: le seguenti versioni di GKE su VMware per Ubuntu sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei nodi a una delle seguenti versioni di GKE su VMware: 1.12.3 e versioni successive 1.13.1 e versioni successive 1.11.5 e versioni successive A breve verranno rilasciate le versioni di GKE su VMware contenenti le patch di Ubuntu. Questo bollettino sulla sicurezza verrà aggiornato quando le versioni di GKE su VMware saranno disponibili per il download. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-3176, il kernel Linux presenta una vulnerabilità nel sottosistema io_uring. La mancata gestione di POLLFREE può portare a exploit di tipo Use-After-Free (UAF) che possono essere utilizzati per l'escalation dei privilegi.

Alta

GKE su AWS

Aggiornamento: 21/11/2022

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2022-3176) che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente non privilegiato di eseguire un'estrazione completa del contenitore per ottenere l'accesso come utente root sul nodo. Che cosa devo fare? Aggiornamento del 21/11/2022: le seguenti versioni attuali e di generazione precedente di GKE su AWS sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei tuoi nodi a una delle seguenti versioni di GKE su AWS: Generare 1.21.14-gke.7100 1.22.15-gke.100 1.23.11-gke.300 1.24.5-gke.200 Generare precedente 1.22.15-gke.1400 1.23.12-gke.1400 1.24.6-gke.1300 A breve verranno rilasciate le versioni di GKE su AWS contenenti le patch di Ubuntu. Questo bollettino sulla sicurezza verrà aggiornato quando le versioni di GKE su AWS saranno disponibili per il download. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-3176, il kernel Linux presenta una vulnerabilità nel sottosistema io_uring. La mancata gestione di POLLFREE può portare a exploit di tipo Use-After-Free (UAF) che possono essere utilizzati per l'escalation dei privilegi.

Alta

GKE su Azure

Aggiornamento: 21/11/2022

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2022-3176) che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente non privilegiato di eseguire un'estrazione completa del contenitore per ottenere l'accesso come utente root sul nodo. Che cosa devo fare? Aggiornamento del 21/11/2022: le seguenti versioni di GKE su Azure sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei nodi a una delle seguenti versioni di GKE su Azure: 1.21.14-gke.7100 1.22.15-gke.100 1.23.11-gke.300 1.24.5-gke.200 A breve verranno rilasciate le versioni di GKE su Azure che contengono le patch di Ubuntu. Questo bollettino sulla sicurezza verrà aggiornato quando le versioni di GKE su Azure saranno disponibili per il download. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-3176, il kernel Linux presenta una vulnerabilità nel sottosistema io_uring. La mancata gestione di POLLFREE può portare a exploit di tipo Use-After-Free (UAF) che possono essere utilizzati per l'escalation dei privilegi.

Alta

GKE su Bare Metal

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2022-3176) che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente non privilegiato di eseguire un'estrazione completa del contenitore per ottenere l'accesso root sul nodo. Che cosa devo fare? Non occorre alcun intervento. GKE on Bare Metal non è interessato da questa CVE perché non include un sistema operativo nella sua distribuzione.

Nessuno

GCP-2022-018

Pubblicato il: 01/08/2022
Aggiornamento: 14/09/2022, 21/12/2023
Riferimento: CVE-2022-2327

Aggiornamento del 21/12/2023: è stato chiarito che i cluster GKE Autopilot nella configurazione predefinita non sono interessati.

Aggiornamento del 14/09/2022: sono state aggiunte le versioni delle patch per GKE su VMware, GKE su AWS e GKE su Azure.

GKE

Aggiornamento: 21-12-2023

Descrizione

Gravità

Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2022-2327) che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente non privilegiato di eseguire un breakout completo del contenitore per ottenere l'accesso root sul nodo. Dettagli tecnici Aggiornamento del 21/12/2023: il bollettino originale indicava che i cluster Autopilot erano interessati, ma questa informazione non era corretta. I cluster GKE Autopilot nella configurazione predefinita non sono interessati, ma potrebbero essere vulnerabili se imposti esplicitamente il profilo seccomp Unconfined o se consenti CAP_NET_ADMIN. I cluster GKE, inclusi i cluster Autopilot, con Container-Optimized OS (COS) che utilizza la versione 5.10 del kernel Linux sono interessati. I cluster GKE che utilizzano immagini Ubuntu o GKE Sandbox non sono interessati. Che cosa devo fare? Esegui l'upgrade dei cluster GKE a una versione che includa la correzione. Le immagini dei nodi Linux per COS sono state aggiornate insieme alle versioni di GKE che utilizzano queste versioni di COS. Per motivi di sicurezza, anche se hai attivato l'upgrade automatico dei nodi, ti consigliamo di eseguire l'upgrade manuale dei tuoi pool di nodi a una delle seguenti versioni GKE: Versioni COS 1.22.12-gke.300 1.23.8-gke.1900 1.24.2-gke.1900 Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi eseguire l'upgrade dei nodi alla versione con patch prima che questa diventi predefinita nel canale di release selezionato. Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-2327 Con CVE-2022-2327, il kernel Linux nella versione 5.10 presenta una vulnerabilità nel sottosistema io_uring in cui mancano tipi di elementi (flag) per varie richieste. L'utilizzo di queste richieste senza i tipi di elementi appropriati specificati può causare l'escalation dei privilegi al root.

Alta

GKE su VMware

Aggiornamento: 14-09-2022

Descrizione

Gravità

Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2022-2327) che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente non privilegiato di eseguire un breakout completo del contenitore per ottenere l'accesso root sul nodo. I cluster con un'immagine COS (Container-Optimized OS) che utilizza GKE su VMware versioni 1.10, 1.11 e 1.12 sono interessati. Che cosa devo fare? Aggiornamento del 14/09/2022: le seguenti versioni di GKE on VMware contengono codice che corregge questa vulnerabilità. 1.10.6 o versioni successive 1.11.3 o versioni successive 1.12.1 o versioni successive Le versioni di GKE su VMware che contengono le patch verranno rilasciate a breve. Questo bollettino sulla sicurezza verrà aggiornato quando le versioni di GKE su VMware saranno disponibili per il download. Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-2327 Con CVE-2022-2327, il kernel Linux nella versione 5.10 presenta una vulnerabilità nel sottosistema io_uring in cui mancano tipi di elementi (flag) per varie richieste. L'utilizzo di queste richieste senza i tipi di elementi appropriati specificati può causare l'escalation dei privilegi al root.

Alta

GKE su AWS

Aggiornamento: 14-09-2022

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel Linux è stata scoperta una nuova vulnerabilità (CVE-2022-2327) che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente non privilegiato di eseguire un breakout completo del contenitore per ottenere l'accesso root sul nodo. Che cosa devo fare? Aggiornamento del 14/09/2022: le seguenti versioni attuali e di generazione precedente di GKE su AWS sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei tuoi nodi a una delle seguenti versioni di GKE su AWS: Generazione attuale 1.23.8-gke.1700 1.22.12-gke.200 1.21.14-gke.2100 Generazione precedente 1.23.8-gke.2000 1.22.12-gke.300 1.21.14-gke.2100 A breve verranno rilasciate le versioni di GKE su AWS che contengono le patch. Questo bollettino sulla sicurezza verrà aggiornato quando le versioni di GKE su AWS saranno disponibili per il download. Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-2327 Con CVE-2022-2327, il kernel Linux nella versione 5.10 presenta una vulnerabilità nel sottosistema io_uring in cui mancano tipi di elementi (flag) per varie richieste. L'utilizzo di queste richieste senza i tipi di elementi appropriati specificati può causare l'escalation dei privilegi al root.

Alta

GKE su Azure

Aggiornamento: 14-09-2022

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2022-2327) che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente non privilegiato di eseguire un breakout completo del contenitore per ottenere l'accesso root sul nodo. Che cosa devo fare? Aggiornamento del 14/09/2022: le seguenti versioni di GKE su Azure sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei tuoi nodi a una delle seguenti versioni di GKE su Azure: 1.23.8-gke.1700 1.22.12-gke.200 1.21.14-gke.2100 A breve verranno rilasciate le versioni di GKE su Azure che contengono le patch. Questo bollettino sulla sicurezza verrà aggiornato quando le versioni di GKE su Azure saranno disponibili per il download. Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-2327 Con CVE-2022-2327, il kernel Linux nella versione 5.10 presenta una vulnerabilità nel sottosistema io_uring in cui mancano tipi di elementi (flag) per varie richieste. L'utilizzo di queste richieste senza i tipi di elementi appropriati specificati può causare l'escalation dei privilegi al root.

Alta

Google Distributed Cloud Virtual per Bare Metal

Descrizione

Gravità

Nel kernel di Linux è stata scoperta una nuova vulnerabilità (CVE-2022-2327) che può portare all'escalation dei privilegi locali. Questa vulnerabilità consente a un utente non privilegiato di eseguire un breakout completo del contenitore per ottenere l'accesso root sul nodo. Che cosa devo fare? Non sono necessarie ulteriori azioni. Google Distributed Cloud Virtual for Bare Metal non è interessato da questa CVE perché non include un sistema operativo nella sua distribuzione.

Nessuno

GCP-2022-017

Pubblicato: 29/06/2022
Aggiornato: 22/11/2022
Riferimento: CVE-2022-1786
Aggiornamento del 22/11/2022: informazioni aggiornate sui carichi di lavoro che utilizzano GKE Sandbox.
Aggiornamento del 21/07/2022: sono state aggiornate le informazioni relative alle immagini COS di GKE on VMware interessate.

GKE

Aggiornamento: 22/11/2022

Descrizione

Gravità

Aggiornamento del 22/11/2022: i carichi di lavoro che utilizzano GKE Sandbox non sono interessati da queste vulnerabilità. È stata scoperta una nuova vulnerabilità (CVE-2022-1786) nelle versioni 5.10 e 5.11 del kernel Linux. Questa vulnerabilità consente a un utente senza privilegi con accesso locale al cluster di eseguire un'estrazione completa del contenitore per ottenere l'accesso root sul nodo. Sono interessati solo i cluster che eseguono Container-Optimized OS. Le versioni Ubuntu di GKE utilizzano la versione 5.4 o 5.15 del kernel e non sono interessate. Che cosa devo fare? Le versioni delle immagini dei nodi Linux per Container-Optimized OS per le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire manualmente l'upgrade dei pool di nodi a una delle seguenti versioni GKE imminenti: 1.22.10-gke.600 1.23.7-gke.1400 1.24.1-gke.1400 Una recente funzionalità dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi eseguire l'upgrade dei nodi alla versione con patch prima che questa diventi predefinita nel canale di rilascio selezionato. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-1786 è stato rilevato un errore di uso dopo svuotamento nel sottosistema io_uring del kernel Linux. Se un utente configura un anello con IORING_SETUP_IOPOLL con più di un compito che completa i messaggi nell'anello, un utente locale può causare un arresto anomalo o eseguire la riassegnazione dei propri privilegi sul sistema.

Alta

GKE su VMware

Aggiornamento: 14/07/2022

Descrizione

Gravità

È stata scoperta una nuova vulnerabilità (CVE-2022-1786) nelle versioni 5.10 e 5.11 del kernel Linux. Questa vulnerabilità consente a un utente senza privilegi con accesso locale al cluster di eseguire un'estrazione completa del contenitore per ottenere l'accesso root sul nodo. Che cosa devo fare? Aggiornamento del 21/07/2022: le seguenti versioni di GKE on VMware contengono codice che corregge questa vulnerabilità. COS 1.10.5 o versioni successive 1.11.2 o versioni successive 1.12.0 o versioni successive Alcune di queste versioni potrebbero non essere disponibili immediatamente e lo saranno nelle release future. Ubuntu Non sono necessarie ulteriori azioni. GKE on VMware non utilizza le versioni interessate del kernel Linux.

Nessuno

GKE su AWS

Descrizione

Gravità

È stata scoperta una nuova vulnerabilità (CVE-2022-1786) nelle versioni 5.10 e 5.11 del kernel Linux. Questa vulnerabilità consente a un utente senza privilegi con accesso locale al cluster di eseguire un'estrazione completa del contenitore per ottenere l'accesso root sul nodo. Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE su AWS non utilizza le versioni interessate del kernel Linux.

Nessuno

GKE su Azure

Descrizione

Gravità

È stata scoperta una nuova vulnerabilità (CVE-2022-1786) nelle versioni 5.10 e 5.11 del kernel Linux. Questa vulnerabilità consente a un utente senza privilegi con accesso locale al cluster di eseguire un'estrazione completa del contenitore per ottenere l'accesso root sul nodo. Che cosa devo fare? Non sono necessarie ulteriori azioni. GKE su Azure non utilizza le versioni interessate del kernel Linux.

Nessuno

Google Distributed Cloud Virtual per Bare Metal

Descrizione

Gravità

È stata scoperta una nuova vulnerabilità (CVE-2022-1786) nelle versioni 5.10 e 5.11 del kernel Linux. Questa vulnerabilità consente a un utente senza privilegi con accesso locale al cluster di eseguire un'estrazione completa del contenitore per ottenere l'accesso root sul nodo. Che cosa devo fare? Non sono necessarie ulteriori azioni. Google Distributed Cloud Virtual for Bare Metal non è interessato da questa CVE in quanto non include un sistema operativo nella sua distribuzione.

Nessuno

GCP-2022-016

Pubblicato: 23/06/2022
Aggiornato: 22/11/2022
Riferimento: CVE-2022-29581, CVE-2022-29582, CVE-2022-1116
Aggiornamento del 22/11/2022: sono state aggiunte informazioni sui carichi di lavoro in esecuzione nei cluster Autopilot.
Aggiornamento del 29/07/2022: sono state aggiornate le versioni di GKE su VMware, GKE su AWS e GKE su Azure.

GKE

Aggiornamento: 22/11/2022

Descrizione

Gravità

Aggiornamento del 22/11/2022: I cluster Autopilot non sono interessati da CVE-2022-29581, ma sono vulnerabili a CVE-2022-29582 e CVE-2022-1116. Aggiornamento del 29/07/2022: i pod che utilizzano GKE Sandbox non sono vulnerabili a queste vulnerabilità. Nel kernel Linux sono state scoperte tre nuove vulnerabilità di corruzione della memoria (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116). Queste vulnerabilità consentono a un utente senza privilegi con accesso locale al cluster di eseguire un breakout completo del contenitore per ottenere l'accesso root sul nodo. Sono interessati tutti i cluster Linux (Container-Optimized OS e Ubuntu). Che cosa devo fare? Le versioni delle immagini dei nodi Linux sia per Container-Optimized OS che per Ubuntu per le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai abilitato l'upgrade automatico dei nodi, ti consigliamo di eseguire manualmente l'upgrade dei tuoi pool di nodi a una delle seguenti versioni di GKE: Container-Optimized OS: 1.19.16-gke.13800 1.20.15-gke.8000 1.21.12-gke.1500 1.22.9-gke.1300 1.23.6-gke.1500 1.24.1-gke.1400 Ubuntu: 1.20.15-gke.9600 1.21.13-gke.900 1.22.10-gke.600 1.23.7-gke.1400 1.24.1-gke.1400 Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi eseguire l'upgrade dei nodi alla versione con patch prima che questa diventi predefinita nel canale di rilascio selezionato. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-29582, il kernel Linux nelle versioni precedenti alla 5.17.3 presenta un uso dopo il rilascio a causa di una race condition nei timeout di io_uring. CVE-2022-29581 e CVE-2022-1116 sono vulnerabilità che consentono a un malintenzionato locale di causare una corruzione della memoria in io_uring o net/sched nel kernel di Linux per eseguire l'escalation dei privilegi a root.

Alta

GKE su VMware

Aggiornamento: 29/07/2022

Descrizione

Gravità

Aggiornamento del 29/07/2022: le seguenti versioni di GKE on VMware contengono codice che corregge queste vulnerabilità. 1.9.7 o versioni successive 1.10.5 o versioni successive 1.11.2 o versioni successive 1.12.0 o versioni successive Nel kernel Linux sono state scoperte tre nuove vulnerabilità di corruzione della memoria (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116). Queste vulnerabilità consentono a un utente senza privilegi con accesso locale al cluster di eseguire un breakout completo del contenitore per ottenere l'accesso root sul nodo. Queste vulnerabilità interessano GKE su VMware v1.9 e versioni successive per Container-Optimized OS e immagini Ubuntu. Che cosa devo fare? A breve verranno rilasciate le versioni di GKE su VMware contenenti le patch. Questo bollettino sulla sicurezza verrà aggiornato quando le versioni di GKE su VMware saranno disponibili per il download. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-29582, il kernel Linux nelle versioni precedenti alla 5.17.3 presenta un uso dopo il rilascio a causa di una race condition nei timeout di io_uring. CVE-2022-29581 e CVE-2022-1116 sono vulnerabilità che consentono a un malintenzionato locale di causare una corruzione della memoria in io_uring o net/sched nel kernel di Linux per eseguire l'escalation dei privilegi a root.

Alta

GKE su AWS

Aggiornamento: 29/07/2022

Descrizione

Gravità

Aggiornamento del 29/07/2022: Aggiornamento: le seguenti versioni attuali e di generazione precedente di GKE su AWS sono state aggiornate con il codice per correggere queste vulnerabilità. Ti consigliamo di eseguire l'upgrade dei tuoi nodi a una delle seguenti versioni di GKE su AWS: Generazione attuale: 1.23.7-gke.1300 1.22.10-gke.1500 1.21.11-gke.1900 Generazione precedente: 1.23.7-gke.1500 1.22.10-gke.1500 1.21.13-gke.1600 Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel Linux sono state scoperte tre nuove vulnerabilità di corruzione della memoria (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116). Queste vulnerabilità consentono a un utente senza privilegi con accesso locale al cluster di eseguire un breakout completo del contenitore per ottenere l'accesso root sul nodo. Queste vulnerabilità interessano tutte le versioni di GKE su AWS. Che cosa devo fare? A breve verranno rilasciate le versioni di GKE su AWS che contengono le patch. Questo bollettino sulla sicurezza verrà aggiornato quando le versioni di GKE su AWS saranno disponibili per il download. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-29582, il kernel Linux nelle versioni precedenti alla 5.17.3 presenta un uso dopo il rilascio a causa di una race condition nei timeout di io_uring. CVE-2022-29581 e CVE-2022-1116 sono vulnerabilità che consentono a un malintenzionato locale di causare una corruzione della memoria in io_uring o net/sched nel kernel di Linux per eseguire l'escalation dei privilegi a root.

Alta

GKE su Azure

Descrizione

Gravità

Aggiornamento del 29/07/2022: Aggiornamento: le seguenti versioni di GKE su Azure sono state aggiornate con il codice per correggere queste vulnerabilità. Ti consigliamo di eseguire l'upgrade dei tuoi nodi a una delle seguenti versioni di GKE su Azure: 1.23.7-gke.1300 1.22.10-gke.1500 1.21.11-gke.1900 Nel kernel Linux sono state scoperte tre nuove vulnerabilità di corruzione della memoria (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116). Queste vulnerabilità consentono a un utente senza privilegi con accesso locale al cluster di eseguire un breakout completo del contenitore per ottenere l'accesso root sul nodo. Queste vulnerabilità interessano tutte le versioni di GKE su Azure. Che cosa devo fare? A breve verranno rilasciate le versioni di GKE su Azure che contengono le patch. Questo bollettino sulla sicurezza verrà aggiornato quando le versioni di GKE su Azure saranno disponibili per il download. Quali vulnerabilità vengono affrontate da questa patch? Con CVE-2022-29582, il kernel Linux nelle versioni precedenti alla 5.17.3 presenta un uso dopo il rilascio a causa di una race condition nei timeout di io_uring. CVE-2022-29581 e CVE-2022-1116 sono vulnerabilità che consentono a un malintenzionato locale di causare una corruzione della memoria in io_uring o net/sched nel kernel di Linux per eseguire l'escalation dei privilegi a root.

Alta

Google Distributed Cloud Virtual per Bare Metal

Descrizione

Gravità

Nel kernel Linux sono state scoperte tre nuove vulnerabilità di corruzione della memoria (CVE-2022-29581, CVE-2022-29582, CVE-2022-1116). Queste vulnerabilità consentono a un utente senza privilegi con accesso locale al cluster di eseguire un breakout completo del contenitore per ottenere l'accesso root sul nodo. Che cosa devo fare? Non sono necessarie ulteriori azioni. Google Distributed Cloud Virtual for Bare Metal non è interessato da questa vulnerabilità perché non include un sistema operativo nella distribuzione.

Nessuno

GCP-2022-014

Pubblicato: 26/04/2022
Aggiornato: 22/11/2022
Aggiornamento del 22/11/2022: sono state aggiunte informazioni sui carichi di lavoro in esecuzione nei cluster Autopilot.
Aggiornamento del 12/05/2022: sono state aggiornate le versioni delle patch per GKE su AWS e GKE su Azure.
Riferimento: CVE-2022-1055, CVE-2022-27666

GKE

Aggiornamento: 22/11/2022

Descrizione

Gravità

Aggiornamento del 22/11/2022: i cluster e i carichi di lavoro GKE Autopilot in esecuzione in GKE Sandbox non sono interessati da queste vulnerabilità. Nel kernel Linux sono state scoperte due vulnerabilità di sicurezza, CVE-2022-1055 e CVE-2022-27666. Ognuno può consentire a un malintenzionato locale di eseguire un'container breakout, l'escalation dei privilegi sull'host o entrambe. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi GKE (Container-Optimized OS e Ubuntu). Dettagli tecnici In CVE-2022-1055, un utente malintenzionato può sfruttare l'uso improprio di oggetti dopo il loro rilascio in tc_new_tfilter(), che consente a un utente malintenzionato locale nel contenitore di eseguire la riassegnazione dei privilegi a root sul nodo. In CVE-2022-27666, l'overflow del buffer in esp/esp6_output_head consente a un utente malintenzionato locale nel contenitore di eseguire l'escalation dei privilegi a root sul nodo. Che cosa devo fare? Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE sono state aggiornate con il codice per correggere queste vulnerabilità. Esegui l'upgrade dei cluster a una delle seguenti versioni GKE imminenti: 1.19.16-gke.11000 e versioni successive 1.20.15-gke.5200 e versioni successive 1.21.11-gke.1100 e versioni successive 1.22.8-gke.200 e versioni successive 1.23.5-gke.1500 e versioni successive Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-1055 CVE-2022-27666

Alta

GKE su VMware

Descrizione

Gravità

Nel kernel Linux sono state scoperte due vulnerabilità di sicurezza, CVE-2022-1055 e CVE-2022-27666. Ognuno può consentire a un malintenzionato locale di eseguire un'container breakout, l'escalation dei privilegi sull'host o entrambe. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi GKE (Container-Optimized OS e Ubuntu). Dettagli tecnici In CVE-2022-1055, un utente malintenzionato può sfruttare l'uso improprio di oggetti dopo il loro rilascio in tc_new_tfilter(), che consente a un utente malintenzionato locale nel contenitore di eseguire la riassegnazione dei privilegi a root sul nodo. In CVE-2022-27666, l'overflow del buffer in esp/esp6_output_head consente a un utente malintenzionato locale nel contenitore di eseguire l'escalation dei privilegi a root sul nodo. Che cosa devo fare? Esegui l'upgrade del cluster a una versione con patch. Le seguenti versioni di GKE on VMware o successive contengono la correzione di questa vulnerabilità: 1.9.6 (disponibile a breve) 1.10.3 1.11.0 (disponibile a breve) Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-1055 CVE-2022-27666

Alta

GKE su AWS

Aggiornamento: 12/05/2022

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS Nel kernel Linux sono state scoperte due vulnerabilità di sicurezza, CVE-2022-1055 e CVE-2022-27666. Ognuno può consentire a un malintenzionato locale di eseguire un'container breakout, l'escalation dei privilegi sull'host o entrambe. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi GKE (Container-Optimized OS e Ubuntu). Dettagli tecnici In CVE-2022-1055, un utente malintenzionato può sfruttare l'uso improprio di oggetti dopo il loro rilascio in tc_new_tfilter(), che consente a un utente malintenzionato locale nel contenitore di eseguire la riassegnazione dei privilegi a root sul nodo. In CVE-2022-27666, l'overflow del buffer in esp/esp6_output_head consente a un utente malintenzionato locale nel contenitore di eseguire l'escalation dei privilegi a root sul nodo. Che cosa devo fare? Aggiornamento del 12/05/2022: le seguenti versioni attuali e di generazione precedente di GKE su AWS sono state aggiornate con il codice per correggere queste vulnerabilità. Ti consigliamo di eseguire l'upgrade dei tuoi nodi a una delle seguenti versioni di GKE su AWS: Generare 1.21.11-gke.1100 1.22.8-gke.1300 Generare precedente 1.20.15-gke.5200 1.21.11-gke.1100 1.22.8-gke.1300 Esegui l'upgrade del cluster a una versione con patch. Le patch saranno disponibili in una release futura. Questo bollettino verrà aggiornato non appena saranno disponibili. Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-1055 CVE-2022-27666

Alta

GKE su Azure

Aggiornamento: 12/05/2022

Descrizione

Gravità

Nel kernel Linux sono state scoperte due vulnerabilità di sicurezza, CVE-2022-1055 e CVE-2022-27666. Ognuno può consentire a un malintenzionato locale di eseguire un'container breakout, l'escalation dei privilegi sull'host o entrambe. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi GKE (Container-Optimized OS e Ubuntu). Dettagli tecnici In CVE-2022-1055, un utente malintenzionato può sfruttare l'uso improprio di oggetti dopo il loro rilascio in tc_new_tfilter(), che consente a un utente malintenzionato locale nel contenitore di eseguire la riassegnazione dei privilegi a root sul nodo. In CVE-2022-27666, l'overflow del buffer in esp/esp6_output_head consente a un utente malintenzionato locale nel contenitore di eseguire l'escalation dei privilegi a root sul nodo. Che cosa devo fare? Aggiornamento del 12 maggio 2022: le seguenti versioni di GKE su Azure sono state aggiornate con il codice per correggere queste vulnerabilità. Ti consigliamo di eseguire l'upgrade dei nodi a una delle seguenti versioni di GKE su Azure: 1.21.11-gke.1100 1.22.8-gke.1300 Esegui l'upgrade del cluster a una versione con patch. Le patch saranno disponibili in una release futura. Questo bollettino verrà aggiornato non appena saranno disponibili. Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-1055 CVE-2022-27666

Alta

Google Distributed Cloud Virtual per Bare Metal

Descrizione

Gravità

Nel kernel Linux sono state scoperte due vulnerabilità di sicurezza, CVE-2022-1055 e CVE-2022-27666. Ognuno può consentire a un malintenzionato locale di eseguire un'container breakout, l'escalation dei privilegi sull'host o entrambe. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi GKE (Container-Optimized OS e Ubuntu). Dettagli tecnici In CVE-2022-1055, un utente malintenzionato può sfruttare l'uso improprio di oggetti dopo il loro rilascio in tc_new_tfilter(), che consente a un utente malintenzionato locale nel contenitore di eseguire la riassegnazione dei privilegi a root sul nodo. In CVE-2022-27666, l'overflow del buffer in esp/esp6_output_head consente a un utente malintenzionato locale nel contenitore di eseguire l'escalation dei privilegi a root sul nodo. Che cosa devo fare? Non sono necessarie ulteriori azioni. Google Distributed Cloud Virtual for Bare Metal non è interessato da questa CVE perché non include Linux nel proprio pacchetto. Assicurati che le immagini dei nodi che utilizzi siano aggiornate alle versioni che contengono la correzione per CVE-2022-1055 e CVE-2022-27666. Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-1055 CVE-2022-27666

Alta

GCP-2022-013

Pubblicato: 11/04/2022
Aggiornato: 20/04/2022
Riferimento: CVE-2022-23648
Aggiornamento del 22/04/2022: sono state aggiornate le versioni delle patch per Google Distributed Cloud Virtual for Bare Metal e GKE su VMware.

GKE

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-23648, nella gestione del traversale del percorso di containerd nella specifica del volume dell'immagine OCI. I container lanciati tramite l'implementazione CRI di containerd con una configurazione dell'immagine appositamente creata potrebbero ottenere l'accesso di lettura completo a file e directory arbitrari sull'host. Questa vulnerabilità potrebbe aggirare qualsiasi applicazione basata su criteri per la configurazione dei container (incluso un criterio di sicurezza dei pod Kubernetes). Questa vulnerabilità interessa tutti i sistemi operativi dei nodi GKE (Container-Optimized OS e Ubuntu) che utilizzano containerd per impostazione predefinita. Sono interessati tutti i nodi GKE, Autopilot e GKE Sandbox. Che cosa devo fare? Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai attivato l'upgrade automatico dei nodi, ti consigliamo di eseguire l'upgrade manuale dei nodi a una delle seguenti versioni di GKE: 1.19.16-gke.9400 1.20.15-gke.3600 1.21.10-gke.1500 1.22.7-gke.1500 1.23.4-gke.1500 Una funzionalità recente dei canali di rilascio ti consente di applicare una patch senza dover annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi finché la nuova versione non diventa predefinita per il tuo canale di rilascio specifico.

Medio

GKE su VMware

Aggiornamento: 22/04/2022

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-23648, nella gestione del traversale del percorso di containerd nella specifica del volume dell'immagine OCI. I container lanciati tramite l'implementazione CRI di containerd con una configurazione dell'immagine appositamente creata potrebbero ottenere l'accesso di lettura completo a file e directory arbitrari sull'host. Questa vulnerabilità potrebbe aggirare qualsiasi applicazione basata su criteri per la configurazione dei container (incluso un criterio di sicurezza dei pod Kubernetes). Questa vulnerabilità interessa tutti i GKE on VMware con Stackdriver abilitato, che utilizza containerd. Sono interessate le versioni 1.8, 1.9 e 1.10 di GKE on VMware Che cosa devo fare? Aggiornamento del 22/04/2022: le seguenti versioni di GKE on VMware contengono codice che corregge questa vulnerabilità. Alcune di queste versioni potrebbero non essere disponibili immediatamente e lo saranno nelle release future. 1.9.5 o versioni successive 1.10.3 o versioni successive 1.11.0 o versioni successive Questo elenco sostituisce l'elenco delle versioni pubblicato in precedenza di seguito. Le seguenti versioni di GKE on VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei nodi a una delle seguenti versioni di GKE su VMware: 1.8.8 o versioni successive 1.9.5 o versioni successive 1.10.2 o versioni successive Questo CVE può essere mitigato impostando IgnoreImageDefinedVolumes su true.

Medio

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS È stata scoperta una vulnerabilità di sicurezza, CVE-2022-23648, nella gestione del traversale del percorso di containerd nella specifica del volume dell'immagine OCI. I container lanciati tramite l'implementazione CRI di containerd con una configurazione dell'immagine appositamente creata potrebbero ottenere l'accesso di lettura completo a file e directory arbitrari sull'host. Questa vulnerabilità potrebbe aggirare qualsiasi applicazione basata su criteri per la configurazione dei container (incluso un criterio di sicurezza dei pod Kubernetes). Sono interessate tutte le versioni di GKE su AWS. Che cosa devo fare? Le seguenti versioni di GKE su AWS sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei tuoi nodi a una delle seguenti versioni di GKE su AWS. GKE su AWS (generazione attuale) Versione 1.22: 1.22.8-gke.200 Versione 1.21: 1.21.11-gke.100 GKE su AWS (generazione precedente) Versione 1.22: 1.22.8-gke.300 Versione 1.21: 1.21.11-gke.100 Versione 1.20: 1.20.15-gke.2200 Questo CVE può essere mitigato impostando IgnoreImageDefinedVolumes su true.

Medio

GKE su Azure

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-23648, nella gestione del traversale del percorso di containerd nella specifica del volume dell'immagine OCI. I container lanciati tramite l'implementazione CRI di containerd con una configurazione dell'immagine appositamente creata potrebbero ottenere l'accesso di lettura completo a file e directory arbitrari sull'host. Questa vulnerabilità potrebbe aggirare qualsiasi applicazione basata su criteri per la configurazione dei container (incluso un criterio di sicurezza dei pod Kubernetes). Sono interessate tutte le versioni di GKE su Azure. Che cosa devo fare? Le seguenti versioni di GKE su Azure sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei nodi nel seguente modo: Versione 1.22: 1.22.8-gke.200 Versione 1.21: 1.21.11-gke.100 Questo CVE può essere mitigato impostando IgnoreImageDefinedVolumes su true.

Medio

Google Distributed Cloud Virtual per Bare Metal

Aggiornamento: 22/04/2022

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-23648, nella gestione del traversale del percorso di containerd nella specifica del volume dell'immagine OCI. I container lanciati tramite l'implementazione CRI di containerd con una configurazione dell'immagine appositamente creata potrebbero ottenere l'accesso di lettura completo a file e directory arbitrari sull'host. Questa vulnerabilità potrebbe aggirare qualsiasi applicazione basata su criteri per la configurazione dei container (incluso un criterio di sicurezza dei pod Kubernetes). Questa vulnerabilità interessa tutti i virtuali Google Distributed Cloud per Bare Metal che utilizzano containerd. Sono interessate le versioni 1.8, 1.9 e 1.10 di Google Distributed Cloud Virtual for Bare Metal Che cosa devo fare? Aggiornamento del 22/04/2022: le seguenti versioni di Google Distributed Cloud Virtual for Bare Metal contengono codice che corregge questa vulnerabilità. Alcune di queste versioni potrebbero non essere disponibili immediatamente e lo saranno nelle release future. 1.8.9 o versioni successive 1.9.6 o versioni successive 1.10.3 o versioni successive 1.11.0 o versioni successive Questo elenco sostituisce l'elenco delle versioni pubblicato in precedenza di seguito. Le seguenti versioni di Google Distributed Cloud Virtual for Bare Metal sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei tuoi nodi a una delle seguenti versioni di Google Distributed Cloud Virtual for Bare Metal: 1.8.8 o versioni successive 1.9.5 o versioni successive 1.10.2 o versioni successive Questo CVE può essere mitigato impostando IgnoreImageDefinedVolumes su true.

Medio

GCP-2022-012

Pubblicato: 07/04/2022
Aggiornamento: 22/11/2022
Riferimento: CVE-2022-0847
Aggiornamento del 22/11/2022: informazioni aggiornate sui carichi di lavoro che utilizzano GKE Sandbox.

GKE

Aggiornamento: 22/11/2022

Descrizione

Gravità

Aggiornamento del 22/11/2022: i carichi di lavoro che utilizzano GKE Sandbox non sono interessati da queste vulnerabilità. È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0847, nel kernel Linux 5.8 e versioni successive che può potenzialmente eseguire l'escalation dei privilegi del contenitore a root. Questa vulnerabilità interessa tutte le versioni del pool di nodi GKE 1.22 e successive che utilizzano immagini Container-Optimized OS (Container-Optimized OS 93 e versioni successive). I pool di nodi GKE che utilizzano il sistema operativo Ubuntu non sono interessati. Che cosa devo fare? Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Per motivi di sicurezza, anche se hai attivato l'upgrade automatico dei nodi, ti consigliamo di eseguire l'upgrade manuale dei tuoi pool di nodi a una delle seguenti versioni di GKE: 1.22.7-gke.1500 e versioni successive 1.23.4-gke.1600 e versioni successive Una funzionalità recente dei canali di rilascio ti consente di applicare una versione con patch di altri canali di rilascio senza doverti annullare l'iscrizione a un canale. In questo modo puoi proteggere i tuoi nodi fino a quando la nuova versione non diventa predefinita per il canale specifico della release. Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-0847 riguarda il flag PIPE_BUF_FLAG_CAN_MERGE introdotto nella versione 5.8 del kernel di Linux. In questa vulnerabilità, il membro "flags" della nuova struttura del buffer della pipeline non era stato inizializzato correttamente nel kernel di Linux. Un utente malintenzionato locale non privilegiato può sfruttare questa vulnerabilità per scrivere nelle pagine della cache di pagine basate su file di sola lettura e aumentare i propri privilegi. Le nuove versioni di Container-Optimized OS che risolvono il problema sono state integrate nelle versioni aggiornate del pool di nodi di GKE.

Alta

GKE su VMware

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0847, nella versione 5.8 e successive del kernel Linux che può potenzialmente eseguire l'escalation dei privilegi a root. Questa vulnerabilità interessa GKE su VMware v1.10 per le immagini Container-Optimized OS. Al momento, GKE on VMware con Ubuntu è alla versione del kernel 5.4 e non è vulnerabile a questo attacco. Che cosa devo fare? Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE su VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei cluster di amministrazione e utente alla seguente versione di GKE on VMware: 1.10.3 Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-0847 riguarda il flag PIPE_BUF_FLAG_CAN_MERGE introdotto nella versione 5.8 del kernel di Linux. In questa vulnerabilità, il membro "flags" della nuova struttura del buffer della pipeline non era stato inizializzato correttamente nel kernel di Linux. Un utente malintenzionato locale non privilegiato può sfruttare questa vulnerabilità per scrivere nelle pagine della cache di pagine basate su file di sola lettura e aumentare i propri privilegi. Le nuove versioni di Container-Optimized OS che risolvono il problema sono state integrate nelle versioni aggiornate di GKE on VMware.

Alta

GKE su AWS

Descrizione

Gravità

Nota: questa sezione si applica sia alla generazione attuale che a quella precedente di GKE su AWS È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0847, nel kernel Linux 5.8 e versioni successive che può potenzialmente eseguire l'escalation dei privilegi a root. Questa vulnerabilità interessa i cluster gestiti di GKE su AWS versione 1.21 e i cluster in esecuzione su GKE su AWS (generazione precedente) versione 1.19, 1.20, 1.21 che utilizzano Ubuntu. Che cosa devo fare? Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE su AWS sono state aggiornate con il codice per correggere questa vulnerabilità. Per GKE gestito su AWS, ti consigliamo di eseguire l'upgrade dei cluster utente e dei node pool a una delle seguenti versioni: 1.21.11-gke.100 Per GKE k-lite su AWS, ti consigliamo di eseguire l'upgrade degli oggetti AWSManagementService, AWSCluster e AWSNodePool alla seguente versione: 1.21.11-gke.100 1.20.15-gke.2200 Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-0847 riguarda il flag PIPE_BUF_FLAG_CAN_MERGE introdotto nella versione 5.8 del kernel di Linux. In questa vulnerabilità, il membro "flags" della nuova struttura del buffer della pipeline non era stato inizializzato correttamente nel kernel di Linux. Un utente malintenzionato locale non privilegiato può sfruttare questa vulnerabilità per scrivere nelle pagine della cache di pagine basate su file di sola lettura e aumentare i propri privilegi.

Alta

GKE su Azure

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0847, nel kernel Linux 5.8 e versioni successive che può potenzialmente eseguire l'escalation dei privilegi a root. Questa vulnerabilità interessa i cluster gestiti di GKE on Azure versione 1.21 che utilizzano Ubuntu. Che cosa devo fare? Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE su Azure sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di eseguire l'upgrade dei cluster utente e del pool di nodi alla seguente versione: 1.21.11-gke.100 Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-0847 riguarda il flag PIPE_BUF_FLAG_CAN_MERGE introdotto nella versione 5.8 del kernel di Linux. In questa vulnerabilità, il membro "flags" della nuova struttura del buffer della pipeline non era stato inizializzato correttamente nel kernel di Linux. Un utente malintenzionato locale non privilegiato può sfruttare questa vulnerabilità per scrivere nelle pagine della cache di pagine basate su file di sola lettura e aumentare i propri privilegi.

Alta

Google Distributed Cloud Virtual per Bare Metal

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0847, nel kernel Linux 5.8 e versioni successive che può potenzialmente eseguire l'escalation dei privilegi a root. Che cosa devo fare? Non è richiesta alcuna azione da parte tua. Google Distributed Cloud Virtual for Bare Metal non è interessato da questa CVE perché non include Linux nel proprio pacchetto. Assicurati che le immagini dei nodi che utilizzi siano aggiornate alle versioni che contengono la correzione per CVE-2022-0847.

Alta

GCP-2022-011

Pubblicato il: 22/03/2022
Aggiornamento: 11/08/2022

Aggiornamento del 11/08/2022: sono stati aggiunti ulteriori dettagli sugli effetti della configurazione errata di SMT.

GKE

Descrizione

Gravità

Aggiornamento del 11/08/2022: sono state aggiunte ulteriori informazioni sulla configurazione del multi-threading simultaneo (SMT). SMT doveva essere disattivato, ma è stato attivato nelle versioni elencate. Se hai attivato manualmente SMT per un pool di nodi con limitazione tramite sandbox, SMT rimarrà attivato manualmente nonostante il problema. Esiste una configurazione errata del multi-threading simultaneo (SMT), noto anche come hyper-threading, nelle immagini di GKE Sandbox. La configurazione errata lascia i nodi potenzialmente esposti a attacchi lato canale come il Microarchitectural Data Sampling (MDS) (per maggiori informazioni, consulta la documentazione di GKE Sandbox). Ti sconsigliamo di utilizzare le seguenti versioni interessate: 1.22.4-gke.1501 1.22.6-gke.300 1.23.2-gke.300 1.23.3-gke.600 Se hai abilitato manualmente SMT per un pool di nodi, questo problema non influisce sui nodi in sandbox. Che cosa devo fare? Esegui l'upgrade dei nodi a una delle seguenti versioni: 1.22.6-gke.1500 e versioni successive 1.23.3-gke.1100 e versioni successive Quale vulnerabilità viene affrontata da questa patch? Nei nodi GKE Sandbox, SMT è disattivato per impostazione predefinita, il che riduce gli attacchi lato canale.

Medio

GCP-2022-009

Pubblicato il: 01/03/2022
Aggiornamento: 15/03/2022

GKE

Descrizione

Gravità

Aggiornamento del 15/03/2022: sono state aggiunte le guide alla mitigazione delle vulnerabilità per GKE su AWS e GKE su Azure. È stata aggiunta una sezione sulla persistenza tramite webhook. Alcuni percorsi imprevisti per accedere alla VM del nodo sui cluster GKE Autopilot potrebbero essere stati utilizzati per eseguire la riassegnazione dei privilegi nel cluster. Questi problemi sono stati risolti e non sono richieste ulteriori azioni. Le correzioni risolvono i problemi segnalati tramite il nostro Vulnerability Reward Program. Gli utenti dei cluster GKE Standard e GKE possono facoltativamente applicare un criterio di hardening simile come descritto di seguito. Dettagli tecnici Nota: il confine di sicurezza per i nodi GKE è la macchina virtuale monoutente e, di conseguenza, la possibilità di accedere alla VM del nodo dai pod non è considerata un confine di sicurezza per Autopilot. I nodi non vengono condivisi tra cluster o clienti. A qualsiasi attore che sfrutta questi problemi deve prima essere concesso l'accesso al cluster stesso con almeno le autorizzazioni per pianificare i pod. Accesso all'host utilizzando esenzioni dai criteri di terze parti Per consentire a Google Cloud di offrire una gestione completa dei nodi e un SLA a livello di pod, GKE Autopilot limita alcune primitive Kubernetes ad accesso elevato per impedire ai carichi di lavoro di avere accesso a basso livello alla VM del nodo. Per contestualizzare, GKE Standard offre accesso completo all'infrastruttura di calcolo sottostante, Autopilot offre accesso limitato e Cloud Run non offre accesso. Autopilot allenta alcune di queste limitazioni per un elenco predefinito di strumenti di terze parti per consentire ai clienti di eseguirli su Autopilot senza modifiche. Utilizzando i privilegi per creare pod con montaggi del percorso dell'host, il ricercatore è stato in grado di eseguire un contenitore con privilegi in un pod che sembrava uno di questi strumenti di terze parti inclusi nella lista consentita per ottenere l'accesso all'host. La possibilità di pianificare i pod in questo modo è prevista su GKE Standard, ma non su GKE Autopilot, in quanto ha aggirato le limitazioni di accesso all'host utilizzate per attivare lo SLA descritto in precedenza. Questo problema è stato risolto rafforzando la specifica del pod della lista consentita di terze parti. Escalation dei privilegi da root-on-node Oltre all'accesso all'host, i pod stackdriver-metadata-agent-cluster-level e metrics-server sono stati identificati come ad accesso altamente privilegiato. Dopo aver ottenuto l'accesso a livello di root al nodo, questi servizi potrebbero essere utilizzati per ottenere un ulteriore controllo sul cluster. Abbiamo ritirato e rimosso stackdriver-metadata-agent sia per GKE Standard che per Autopilot. Questo componente è ancora in uso su GKE on VMware e Google Distributed Cloud Virtual for Bare Metal. Come misura di hardening del sistema per prevenire questo tipo di attacco in futuro, in una release imminente applicheremo un vincolo Autopilot che impedisce gli aggiornamenti all'account di servizio di vari oggetti nello spazio dei nomi kube-system. Abbiamo sviluppato un criterio Gatekeeper per consentirti di applicare una protezione simile ai cluster GKE Standard e ai cluster GKE per impedire l'automodifica dei carichi di lavoro con privilegi. Questo criterio viene applicato automaticamente ai cluster Autopilot. Per le istruzioni, consulta le seguenti guide all'hardening: GKE Standard GKE su VMware Google Distributed Cloud Virtual per Bare Metal Aggiornamento del 15/03/2022: GKE su AWS Aggiornamento del 15/03/2022: GKE su Azure Aggiunta del 15/03/2022: persistenza mediante webhook con mutazioni Nel report sono stati utilizzati webhook con mutazioni per ottenere un punto d'appoggio privilegiato nel cluster dopo la compromissione. Si tratta di componenti standard dell'API Kubernetes creati dagli amministratori del cluster e sono stati resi visibili agli amministratori quando Autopilot ha aggiunto il supporto per gli webhook definiti dal cliente. Service account con privilegi nello spazio dei nomi predefinito In precedenza, gli applicativi di applicazione dei criteri Autopilot inserivano nella lista consentita due account di servizio nello spazio dei nomi predefinito: csi-attacher e otelsvc per concedere agli account di servizio privilegi speciali. Un malintenzionato con privilegi elevati, incluse le autorizzazioni per creare oggetti ClusterRoleBinding e con accesso alla creazione di pod nel namespace predefinito, potrebbe utilizzare questi nomi di account di servizio per accedere a questi privilegi aggiuntivi. Questi servizi sono stati spostati nello spazio dei nomi kube-system per usufruire della protezione del criterio Autopilot esistente. I cluster GKE Standard e i cluster GKE non sono interessati. Che cosa devo fare? I criteri di tutti i cluster GKE Autopilot sono stati aggiornati per rimuovere l'accesso all'host non intenzionale e non è richiesta alcuna azione ulteriore. Nelle prossime settimane verrà applicata un'ulteriore applicazione delle norme ad Autopilot come protezione secondaria. Non è richiesta alcuna azione da parte tua. I cluster GKE Standard e i cluster GKE non sono interessati perché gli utenti hanno già accesso all'host. Come misura di rafforzamento del sistema, gli utenti dei cluster GKE Standard e dei cluster GKE possono applicare una protezione simile con un criterio Gatekeeper che impedisce l'automodifica dei carichi di lavoro con privilegi. Per le istruzioni, consulta le seguenti guide all'hardening: GKE Standard GKE su VMware Google Distributed Cloud Virtual per Bare Metal Aggiornamento del 15/03/2022: GKE su AWS Aggiornamento del 15/03/2022: GKE su Azure

Bassa

GCP-2022-008

Pubblicato: 23/02/2022
Aggiornato: 28/04/2022
Riferimento: CVE-2022-23606, CVE-2022-21655, CVE-2021-43826, CVE-2021-43825, CVE-2021-43824, CVE-2022-21654, CVE-2022-21657, CVE-2022-21656

GKE

Descrizione

Gravità

Di recente il progetto Envoy ha scoperto una serie di vulnerabilità, CVE-2022-23606, CVE-2022-21655, CVE-2021-43826, CVE-2021-43825, CVE-2021-43824, CVE-2022-21654, CVE-2022-21657 e CVE-2022-21656 che potrebbero interessare i cluster GKE che utilizzano Anthos Service Mesh, Istio-on-GKE o i deployment Istio personalizzati. Tutti i problemi elencati di seguito sono stati risolti nella release 1.21.1 di Envoy. Informazioni tecniche Ulteriori dettagli su queste vulnerabilità sono disponibili qui. Che cosa devo fare? I cluster GKE che eseguono Anthos Service Mesh devono eseguire l'upgrade a una versione supportata con la correzione delle vulnerabilità sopra indicate Se utilizzi Anthos Service Mesh 1.12, esegui l'upgrade alla versione v1.12.4-asm.0. Se utilizzi Anthos Service Mesh 1.11, esegui l'upgrade alla v1.11.7-asm.1. Se utilizzi Anthos Service Mesh 1.10, esegui l'upgrade alla v1.10.6-asm.1. Se utilizzi Anthos Service Mesh 1.9 o versioni precedenti, la tua release ha raggiunto la fine del ciclo di vita e non è più supportata. Queste correzioni CVE non sono state sottoposte a backport. Dovresti eseguire l'upgrade ad ASM 1.10 o versioni successive. Per i cluster GKE che eseguono Istio-on-GKE è necessario eseguire l'upgrade a una versione supportata con la correzione delle vulnerabilità sopra indicate Se utilizzi Istio on GKE 1.6, esegui l'upgrade alla versione v1.6.14-gke.8. Se utilizzi Istio on GKE 1.4.11, esegui l'upgrade alla versione v1.4.11-gke.4. Se utilizzi Istio-on-GKE 1.4.10, esegui l'upgrade alla versione v1.4.10-gke.23. Se utilizzi GKE 1.22 o versioni successive, utilizza Istio GKE 1.4.10. In caso contrario, utilizza Istio-on-GKE 1.4.11. Avviso: Istio on GKE è deprecato. Dopo il 31 dicembre 2021, l'interfaccia utente non supporta più questa funzionalità durante la creazione di nuovi cluster. Dopo il 30 settembre 2022, Istio su GKE non sarà più supportato nei cluster esistenti. Puoi eseguire la migrazione di Istio on GKE ad Anthos Service Mesh per continuare a utilizzare i tuoi service mesh. Per ulteriori informazioni, consulta le domande frequenti sulla migrazione. Gli utenti di Envoy che gestiscono i propri Envoy o Istio devono assicurarsi di utilizzare la release 1.21.1 di Envoy. Gli utenti di Envoy che gestiscono i propri agenti Envoy compilano i binari da una fonte come GitHub e li eseguono il deployment. Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-23606, CVE-2022-21655, CVE-2021-43826, CVE-2021-43825, CVE-2021-43824, CVE-2022-21654, CVE-2022-21657, e CVE-2022-21656

Alta

GKE su VMware

Aggiornamento: 28/04/2022

Descrizione

Gravità

Di recente Envoy ha rilasciato più correzioni di vulnerabilità di sicurezza. GKE on VMware è coinvolto perché Envoy viene utilizzato con metrics-server. Di seguito sono elencate le vulnerabilità CVE di Envoy che stiamo correggendo. Aggiorneremo questo bollettino con le versioni specifiche non appena saranno disponibili: CVE-2021-43824 (punteggio CVSS 6,5, medio): Potenziale dereferenziazione di un puntatore nullo quando si utilizza la corrispondenza della regex sicura del filtro JWT. Nota: anche se ASM/Istio-on-GKE non supportano i filtri Envoy, potresti essere interessato se utilizzi la regex del filtro JWT. CVE-2021-43825 (punteggio CVSS 6.1, medio): Utilizzo dopo svuotamento quando i filtri di risposta aumentano i dati di risposta e i dati aumentati superano i limiti del buffer a valle. Nota: anche se ASM/Istio-on-GKE non supportano i filtri Envoy, potresti essere interessato se utilizzi un filtro di decompressione. CVE-2021-43826 (punteggio CVSS 6,1, medio): Utilizzo dopo svuotamento durante il tunneling TCP su HTTP, se il downstream si disconnette durante l'instaurazione della connessione upstream. Nota: anche se ASM/Istio-on-GKE non supportano i filtri Envoy, potresti essere interessato se utilizzi un filtro di tunneling. CVE-2022-21654 (punteggio CVSS 7,3, elevato): la gestione errata della configurazione consente il riutilizzo della sessione mTLS senza nuova convalida dopo la modifica delle impostazioni di convalida. Nota: tutti i servizi ASM/Istio su GKE che utilizzano mTLS sono interessati da questa CVE. CVE-2022-21655 (punteggio CVSS 7,5, elevato): gestione errata dei reindirizzamenti interni alle route con una voce di risposta diretta. Nota: anche se ASM/Istio-on-GKE non supportano i filtri Envoy, potresti essere interessato se utilizzi un filtro di risposta diretta. CVE-2022-23606 (punteggio CVSS 4.4, medio): esaurimento dello stack quando un cluster viene eliminato tramite il servizio di rilevamento dei cluster. Nota: questa vulnerabilità CVE interessa ASM 1.11 e versioni successive. ASM 1.10 e tutti Istio su GKE non sono interessati da questa CVE. CVE-2022-21657 (punteggio CVSS 3.1, basso): Envoy fino alla versione 1.20.1 contiene una vulnerabilità sfruttabile da remoto a causa del bypass degli scopi di utilizzo esteso delle chiavi e della attendibilità X.509. CVE-2022-21656 (punteggio CVSS 3.1, basso): Envoy fino alla versione 1.20.1 contiene una vulnerabilità sfruttabile da remoto a causa del bypass della corrispondenza del nome soggetto X.509 (e dei vincoli di nome). Di recente Istio ha rilasciato una correzione di una vulnerabilità di sicurezza. Anthos on VMware è interessato perché Istio viene utilizzato per l'ingresso. Di seguito sono elencate le CVE di Istio che stiamo correggendo. Aggiorneremo questo bollettino con le versioni specifiche quando saranno disponibili: CVE-2022-23635 (punteggio CVSS 7,5, Alto): Istiod si arresta in modo anomalo alla ricezione di richieste con un'intestazione "authorization" appositamente creata. Nota: tutte le istanze ASM/Istio su GKE sono interessate da questa CVE. Per le descrizioni complete e gli impatti delle CVE sopra indicate, consulta i bollettini sulla sicurezza. Aggiunta del 28/04/2022: che cosa devo fare? Le seguenti versioni di GKE on VMware correggono queste vulnerabilità: 1.9.5 1.10.3 1.11.0 Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-23606, CVE-2022-21655, CVE-2021-43826, CVE-2021-43825, CVE-2021-43824, CVE-2022-21654, CVE-2022-21657, e CVE-2022-21656

Alta

Google Distributed Cloud Virtual per Bare Metal

Descrizione

Gravità

Di recente Envoy ha rilasciato più correzioni di vulnerabilità di sicurezza. Anthos on bare metal è interessato perché Envoy viene utilizzato per metrics-server. Di seguito sono elencate le CVE di Envoy che stiamo correggendo nelle release 1.10.3, 1.9.6 e 1.8.9: CVE-2021-43824 (punteggio CVSS 6,5, medio): Potenziale dereferenziazione di un puntatore nullo quando si utilizza la corrispondenza della regex sicura del filtro JWT. Nota: anche se ASM/Istio-on-GKE non supportano i filtri Envoy, potresti essere interessato se utilizzi la regex del filtro JWT. CVE-2021-43825 (punteggio CVSS 6.1, medio): Utilizzo dopo svuotamento quando i filtri di risposta aumentano i dati di risposta e i dati aumentati superano i limiti del buffer a valle. Nota: anche se ASM/Istio-on-GKE non supportano i filtri Envoy, potresti essere interessato se utilizzi un filtro di decompressione. CVE-2021-43826 (punteggio CVSS 6.1, medio): Utilizzo dopo svuotamento durante il tunneling TCP su HTTP, se il downstream si disconnette durante l'instaurazione della connessione upstream. Nota: anche se ASM/Istio-on-GKE non supportano i filtri Envoy, potresti essere interessato se utilizzi un filtro di tunneling. CVE-2022-21654 (punteggio CVSS 7,3, elevato): la gestione errata della configurazione consente il riutilizzo della sessione mTLS senza nuova convalida dopo la modifica delle impostazioni di convalida. Nota: tutti i servizi ASM/Istio su GKE che utilizzano mTLS sono interessati da questa CVE. CVE-2022-21655 (punteggio CVSS 7,5, elevato): gestione scorretta dei reindirizzamenti interni alle route con una voce di risposta diretta. Nota: anche se ASM/Istio-on-GKE non supportano i filtri Envoy, potresti essere interessato se utilizzi un filtro di risposta diretta. CVE-2022-23606 (punteggio CVSS 4.4, medio): esaurimento dello stack quando un cluster viene eliminato tramite il servizio di rilevamento dei cluster. Nota: questa vulnerabilità CVE interessa ASM 1.11 e versioni successive. ASM 1.10 e tutti Istio su GKE non sono interessati da questa CVE. CVE-2022-21657 (punteggio CVSS 3.1, basso): Envoy fino alla versione 1.20.1 contiene una vulnerabilità sfruttabile da remoto a causa del bypass degli scopi di utilizzo esteso delle chiavi e della attendibilità X.509. CVE-2022-21656 (punteggio CVSS 3.1, basso): Envoy fino alla versione 1.20.1 contiene una vulnerabilità sfruttabile da remoto a causa del bypass della corrispondenza del nome soggetto X.509 (e dei vincoli di nome). Di recente Istio ha rilasciato una correzione di una vulnerabilità di sicurezza. Anthos on bare metal è interessato perché Istio viene utilizzato per l'ingress. La CVE di Istio che stiamo correggendo nelle release 1.10.3, 1.9.6 e 1.8.9 è elencata di seguito: CVE-2022-23635 (punteggio CVSS 7,5, elevato): Istiod si arresta in modo anomalo al ricevimento di richieste con un'intestazione "authorization" appositamente creata. Nota: tutte le istanze ASM/Istio su GKE sono interessate da questa CVE. Per le descrizioni complete e gli impatti delle CVE sopra indicate, consulta i bollettini sulla sicurezza. Quali vulnerabilità vengono affrontate da questa patch? CVE-2022-23606, CVE-2022-21655, CVE-2021-43826, CVE-2021-43825, CVE-2021-43824, CVE-2022-21654, CVE-2022-21657, e CVE-2022-21656

Alta

GCP-2022-006

Pubblicato: 14/02/2022
Aggiornamento: 16/05/2022
Aggiornamento del 16/05/2022: è stata aggiunta la versione GKE 1.19.16-gke.7800 o successiva all'elenco delle versioni con codice per correggere questa vulnerabilità.
Aggiornamento del 12/05/2022: sono state aggiornate le versioni delle patch per GKE, Google Distributed Cloud Virtual per Bare Metal, GKE su VMware e GKE su AWS. È stato risolto un problema per cui il bollettino sulla sicurezza per GKE su AWS non veniva visualizzato quando è stato aggiunto il 23/02/2022.

GKE

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0492, nella funzione cgroup_release_agent_write del kernel Linux. L'attacco utilizza spazi dei nomi utente non privilegiati e, in determinate circostanze, questa vulnerabilità può essere sfruttata per l'container breakout. Che cosa devo fare? Aggiornamento del 16/05/2022: oltre alle versioni di GKE menzionate nell'aggiornamento del 12/05/2022, anche la versione GKE 1.19.16-gke.7800 o successive contiene codice che corregge questa vulnerabilità. Aggiornamento del 12/05/2022: le seguenti versioni di GKE contengono codice che corregge questa vulnerabilità: 1.20.15-gke.5600 o versioni successive 1.21.11-gke.1500 o versioni successive 1.22.8-gke.1800 o successive 1.23.5-gke.1800 o successive Aggiornamento del 15/02/2022: dichiarazione su gVisor corretta. La vulnerabilità si trova nel cgroup_release_agent_write del kernel Linux nella funzione kernel/cgroup/cgroup-v1.c e può essere utilizzata come attacco di evasione dal container. GKE non è interessato a causa della protezione del profilo AppArmor predefinito su Ubuntu e COS. Tuttavia, alcuni clienti potrebbero essere ancora vulnerabili se hanno allentato le limitazioni di sicurezza sui pod tramite la modifica del campo securityContext del pod o del contenitore, ad esempio disattivando/modificando il profilo AppArmor, cosa sconsigliata. Oltre al profilo AppArmor predefinito, queste funzionalità proteggono anche dalla vulnerabilità: GKE Autopilot non è interessato a causa del profilo seccomp predefinito. Aggiornamento del 15/02/2022: gVisor (GKE Sandbox) non è interessato perché non consente l'accesso alla chiamata di sistema vulnerabile sull'host. Le patch saranno disponibili in una release futura. Questo bollettino verrà aggiornato quando saranno disponibili. Quale vulnerabilità viene affrontata da questa patch? CVE-2022-0492

Bassa

Cluster GKE su

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0492, nella funzione cgroup_release_agent_write del kernel Linux. L'attacco utilizza spazi dei nomi utente non privilegiati e, in determinate circostanze, questa vulnerabilità può essere sfruttata per l'container breakout. Che cosa devo fare? Aggiornamento del 12/05/2022: le seguenti versioni di GKE on VMware contengono codice che corregge questa vulnerabilità. Alcune di queste versioni potrebbero non essere disponibili immediatamente e lo saranno nelle release future. COS 1.8.8 o versioni successive 1.9.5 o versioni successive 1.10.2 o versioni successive 1.11.0 o versioni successive Ubuntu 1.9.6 o versioni successive 1.10.3 o versioni successive 1.11.0 o versioni successive La vulnerabilità si trova in cgroup_release_agent_write del kernel Linux nella funzione kernel/cgroup/cgroup-v1.c e può essere utilizzata per eseguire un'estrazione dal contenitore. GKE su VMware non è interessato a causa della protezione del profilo AppArmor predefinito su Ubuntu e COS. Tuttavia, alcuni clienti potrebbero essere ancora vulnerabili se hanno allentato le limitazioni di sicurezza sui pod tramite la modifica del campo securityContext del pod o del contenitore, ad esempio disattivando/modificando il profilo AppArmor, il che non è consigliabile. Le patch saranno disponibili in una release futura. Questo bollettino verrà aggiornato quando saranno disponibili. Quale vulnerabilità viene affrontata da questa patch? CVE-2022-0492

Bassa

GKE su AWS

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0492, nella funzione cgroup_release_agent_write del kernel Linux. L'attacco utilizza spazi dei nomi utente non privilegiati e, in determinate circostanze, questa vulnerabilità può essere sfruttata per l'container breakout. Che cosa devo fare? Aggiornamento del 12/05/2022: le seguenti versioni di GKE su AWS di generazione attuale e precedente contengono codice che corregge questa vulnerabilità: Generare 1.21.11-gke.1100 1.22.8-gke.1300 Generare precedente 1.22.8-gke.1300 1.21.11-gke.1100 1.20.15-gke.5200 Aggiornamento del 23/02/2022: è stata aggiunta una nota per GKE su AWS. Le generazioni precedenti e attuali di GKE su AWS non sono interessate grazie alla protezione del profilo AppArmor predefinito su Ubuntu. Tuttavia, alcuni clienti potrebbero essere ancora vulnerabili se hanno allentato le limitazioni di sicurezza sui pod tramite la modifica del campo securityContext del pod o del contenitore, ad esempio disattivando/modificando il profilo AppArmor, che non è consigliato. Le patch saranno disponibili in una release futura. Questo bollettino verrà aggiornato quando saranno disponibili. Quale vulnerabilità viene affrontata da questa patch? CVE-2022-0492

Bassa

GKE Enterprise su

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2022-0492, nella funzione cgroup_release_agent_write del kernel Linux. L'attacco utilizza spazi dei nomi utente non privilegiati e, in determinate circostanze, questa vulnerabilità può essere sfruttata per l'container breakout. Che cosa devo fare? Aggiornamento del 12/05/2022: le seguenti versioni di GKE su Azure contengono codice che corregge questa vulnerabilità: 1.21.11-gke.1100 1.22.8-gke.1300 GKE su Azure non è interessato a causa della protezione del profilo AppArmor predefinito su Ubuntu. Tuttavia, alcuni clienti potrebbero essere ancora vulnerabili se hanno allentato le limitazioni di sicurezza sui pod tramite la modifica del campo securityContext del pod o del contenitore, ad esempio disattivando/modificando il profilo AppArmor, che non è consigliato. Le patch saranno disponibili in una release futura. Questo bollettino verrà aggiornato quando saranno disponibili. Quale vulnerabilità viene affrontata da questa patch? CVE-2022-0492

Bassa

GCP-2022-005

Pubblicato il: 11/02/2022
Aggiornamento: 15/02/2022
Riferimento: CVE-2021-43527

GKE

Descrizione

Gravità

Aggiornamento del 15/02/2022: alcune versioni di GKE menzionate nel bollettino originale sono state combinate con altri fix e i relativi numeri di versione sono stati incrementati prima del rilascio. Le patch sono disponibili nelle seguenti versioni GKE: 1.20.15-gke.300 1.21.9-gke.300 1.22.6-gke.1000 È stata scoperta una vulnerabilità di sicurezza, CVE-2021-43527, in qualsiasi file binario che rimandi alle versioni vulnerabili di libnss3 presenti nelle versioni di NSS (Network Security Services) precedenti alla 3.73 o alla 3.68.1. Le applicazioni che utilizzano NSS per la convalida dei certificati o altre funzionalità TLS, X.509, OCSP o CRL potrebbero essere interessate, a seconda di come NSS viene utilizzato/configurato. Sia le immagini GKE COS che quelle Ubuntu hanno installato una versione vulnerabile e devono essere sottoposte a patch. Potenzialmente, la vulnerabilità CVE-2021-43527 può avere un impatto ampio sulle applicazioni che utilizzano NSS per gestire le firme codificate in CMS, S/MIME, PKCS#7 o PKCS#12. Potrebbero essere interessate anche le applicazioni che utilizzano NSS per la convalida dei certificati o altre funzionalità TLS, X.509, OCSP o CRL. L'impatto dipende dal modo in cui NSS viene utilizzato/configurato. GKE non utilizza libnss3 per le API accessibili da internet. L'impatto è limitado al codice on-host in esecuzione al di fuori dei contenitori, che è ridotto grazie al design minimale di ChromeOS. Il codice GKE in esecuzione all'interno dei container che utilizzano l'immagine di base distroless di golang non è interessato. Che cosa devo fare? Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE sono state aggiornate con il codice per correggere queste vulnerabilità. Esegui l'upgrade del piano di controllo e dei nodi a una delle seguenti versioni GKE: Versione 1.18 da determinare 1.19.16-gke.6100 1.20.15-gke.200 1.21.9-gke.200 1.22.6-gke.600 1.23.3-gke.500 Utilizzi una versione di GKE precedente alla 1.18? Stai utilizzando una versione GKE non inclusa nel contratto di livello del servizio e dovresti prendere in considerazione l'upgrade a una delle versioni supportate. Quale vulnerabilità viene affrontata da questa patch? CVE-2021-43527

Medio

Cluster GKE su

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2021-43527, in qualsiasi file binario che rimandi alle versioni vulnerabili di libnss3 presenti nelle versioni di NSS (Network Security Services) precedenti alla 3.73 o alla 3.68.1. Le applicazioni che utilizzano NSS per la convalida dei certificati o altre funzionalità TLS, X.509, OCSP o CRL potrebbero essere interessate, a seconda di come viene configurato NSS. Sia le immagini GKE on VMware COS che quelle Ubuntu hanno installato una versione vulnerabile e devono essere sottoposte a patch. Potenzialmente, la vulnerabilità CVE-2021-43527 può avere un impatto ampio sulle applicazioni che utilizzano NSS per gestire le firme codificate in CMS, S/MIME, PKCS #7 o PKCS #12. Potrebbero essere interessate anche le applicazioni che utilizzano NSS per la convalida dei certificati o altre funzionalità TLS, X.509, OCSP o CRL. L'impatto dipende dal modo in cui viene configurato/utilizzato NSS. Anthos su VMware non utilizza libnss3 per le API accessibili pubblicamente, pertanto l'impatto è limitato e la gravità di questa CVE per GKE su VMware è classificata come Media. Che cosa devo fare? Nota: queste versioni potrebbero non essere immediatamente disponibili nei tuoi cluster. L'implementazione dovrebbe iniziare tra qualche settimana e richiedere diversi giorni per essere completata in tutte le zone Google Cloud. Le versioni delle immagini dei nodi Linux per le seguenti versioni di Anthos sono state aggiornate con il codice per correggere queste vulnerabilità. Esegui l'upgrade del control plane e dei nodi a una delle seguenti versioni di Anthos: 1.8.7 1.9.4 1.10.2 Utilizzi una versione di GKE on VMware precedente alla 1.18? Utilizzi una versione di Anthos non inclusa nel SLA e dovresti valutare la possibilità di eseguire l'upgrade a una delle versioni supportate. Quale vulnerabilità viene affrontata da questa patch? CVE-2021-43527

Medio

GKE Enterprise su

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2021-43527, in qualsiasi file binario che rimandi alle versioni vulnerabili di libnss3 presenti nelle versioni di NSS (Network Security Services) precedenti alla 3.73 o alla 3.68.1. Le applicazioni che utilizzano NSS per la convalida dei certificati o altre funzionalità TLS, X.509, OCSP o CRL potrebbero essere interessate, a seconda di come NSS viene utilizzato/configurato. I cluster Anthos su immagini Ubuntu di Azure hanno installato una versione vulnerabile e devono essere sottoposti a patch. Potenzialmente, la vulnerabilità CVE-2021-43527 può avere un impatto ampio sulle applicazioni che utilizzano NSS per gestire le firme codificate in CMS, S/MIME, PKCS#7 o PKCS#12. Potrebbero essere interessate anche le applicazioni che utilizzano NSS per la convalida dei certificati o altre funzionalità TLS, X.509, OCSP o CRL. L'impatto dipende dal modo in cui viene configurato/utilizzato NSS. Cluster Anthos on Azure non utilizza libnss3 per API accessibili pubblicamente, pertanto l'impatto è limitato e la gravità di questa CVE per Anthos on Azure è classificata come Media. Che cosa devo fare? Nota: queste versioni potrebbero non essere immediatamente disponibili per i tuoi cluster. L'implementazione dovrebbe iniziare tra qualche settimana e richiederà diversi giorni per essere completata in tutte le zone Google Cloud. Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE su Azure sono state aggiornate con il codice per correggere queste vulnerabilità. Esegui l'upgrade dei cluster a una delle seguenti versioni di Anthos on Azure: v1.21.6-gke.1500 Quale vulnerabilità viene affrontata da questa patch? CVE-2021-43527

Medio

GCP-2022-004

Pubblicato il: 04/02/2022
Riferimento: CVE-2021-4034

GKE

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2021-4034, in pkexec, parte del pacchetto del kit di criteri di Linux (polkit), che consente a un utente autenticato di eseguire un attacco di escalation dei privilegi. PolicyKit viene generalmente utilizzato solo sui sistemi desktop Linux per consentire agli utenti non root di eseguire azioni come il riavvio del sistema, l'installazione di pacchetti, il riavvio dei servizi e così via, come stabilito da un criterio. Che cosa devo fare? GKE non è interessato perché il modulo vulnerabile, policykit-1, non è installato nelle immagini COS o Ubuntu utilizzate in GKE. Non è richiesta alcuna azione da parte tua.

Nessuno

Cluster GKE su

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2021-4034, in pkexec, parte del pacchetto del kit di criteri di Linux (polkit), che consente a un utente autenticato di eseguire un attacco di escalation dei privilegi. PolicyKit viene generalmente utilizzato solo sui sistemi desktop Linux per consentire agli utenti non root di eseguire azioni come il riavvio del sistema, l'installazione di pacchetti, il riavvio dei servizi e così via, come stabilito da un criterio. La configurazione predefinita di GKE Enterprise assegna già agli utenti privilegi "sudo" completi, pertanto questo exploit non modifica la posizione di sicurezza esistente di GKE Enterprise Dettagli tecnici Affinché questo bug possa essere sfruttato, un malintenzionato deve avere una shell non root sul file system del nodo e aver installato la versione vulnerabile di pkexec. Sebbene GKE su VMware includa una versione di policykit-1 nelle sue immagini di release, la configurazione predefinita di GKE Enterprise consente sudo senza password a chiunque abbia già accesso alla shell, pertanto questa vulnerabilità non conferisce all'utente più privilegi di quelli che ha già. Che cosa devo fare? Non è richiesta alcuna azione da parte tua. GKE on VMware non è interessato.

Nessuno

Cluster GKE su

Descrizione	Gravità
GKE su AWS non è interessato. Il modulo vulnerabile, policykit-1, non è installato nelle immagini Ubuntu utilizzate dalle versioni attuali e precedenti di GKE su AWS.	Nessuno

GKE Enterprise su

Descrizione

Gravità

È stata scoperta una vulnerabilità di sicurezza, CVE-2021-4034, in pkexec, parte del pacchetto del kit di criteri di Linux (polkit), che consente a un utente autenticato di eseguire un attacco di escalation dei privilegi. PolicyKit viene generalmente utilizzato solo sui sistemi desktop Linux per consentire agli utenti non root di eseguire azioni come il riavvio del sistema, l'installazione di pacchetti, il riavvio dei servizi e così via, come stabilito da un criterio. La configurazione predefinita di GKE Enterprise assegna già agli utenti privilegi "sudo" completi, pertanto questo exploit non modifica la posizione di sicurezza esistente di GKE Enterprise Dettagli tecnici Affinché questo bug possa essere sfruttato, un malintenzionato deve avere una shell non root sul file system del nodo e aver installato la versione vulnerabile di pkexec. Sebbene GKE on Azure includa una versione di policykit-1 nelle sue immagini di release, la configurazione predefinita di GKE Enterprise consente sudo senza password a chiunque abbia già accesso alla shell, pertanto questa vulnerabilità non conferisce all'utente più privilegi di quelli che ha già. Che cosa devo fare? Non è richiesta alcuna azione da parte tua. GKE su Azure non è interessato.

Nessuno

Cluster GKE su

Descrizione	Gravità
Google Distributed Cloud Virtual per Bare Metal potrebbe essere interessato a seconda dei pacchetti installati sul sistema operativo gestito dal cliente. Scansiona le immagini del sistema operativo e applica le patch, se necessario.	Nessuno

GCP-2022-002

Pubblicato: 01/02/2022
Aggiornato: 07/03/2022
Riferimento: CVE-2021-4154, CVE-2021-22600, CVE-2022-0185
Aggiornamento del 04/02/2022: sono state aggiunte sezioni per GKE su AWS e GKE su Azure. Sono stati aggiunti aggiornamenti di implementazione per GKE e GKE on VMware.

GKE

Aggiornamento: 07/03/2022

Descrizione

Gravità

Nel kernel Linux sono state scoperte tre vulnerabilità di sicurezza, CVE-2021-4154, CVE-2021-22600, e CVE-2022-0185, ognuna delle quali può portare a un'container breakout, a un'escalation dei privilegi sull'host o a entrambe. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi (COS e Ubuntu) su GKE, GKE su VMware, GKE su AWS (attuale e generazione precedente) e GKE su Azure. I pod che utilizzano GKE Sandbox non sono vulnerabili a queste vulnerabilità. Per ulteriori dettagli, consulta le note di rilascio di COS. Dettagli tecnici In CVE-2021-4154, un utente malintenzionato può sfruttare il parametro di chiamata di sistema fsconfig per attivare un bug di uso dopo svuotamento nel kernel di Linux, ottenendo così i privilegi di root. Si tratta di un attacco di escalation dei privilegi locale che porterà a uncontainer breakout. CVE-2021-22600 è un exploit di doppio sblocco in packet_set_ring che può portare a un attacco di container escape sul nodo host. Con CVE-2022-0185, un bug di overflow dell'heap in legacy_parse_param() può portare a una scrittura fuori limite che causerà uncontainer breakout. Il percorso di sfruttamento di questa vulnerabilità che si basa sulla chiamata di sistema "unshare" è bloccato per impostazione predefinita nei cluster GKE Autopilot utilizzando il filtro seccomp. Sono protetti anche gli utenti che hanno abilitato manualmente il profilo seccomp del runtime del contenitore predefinito sui cluster GKE Standard. Che cosa devo fare? Aggiornamento del 07/03/2022: le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE sono state aggiornate con il codice per correggere tutte queste vulnerabilità sia per le immagini Ubuntu che per quelle COS. Esegui l'upgrade del control plane e dei nodi a una delle seguenti versioni GKE. 1.18.20-gke.6101 1.19.16-gke.8300 1.20.15-gke.2500 1.21.10-gke.400 1.22.7-gke.900 1.23.3-gke.1100 Aggiornamento del 25 febbraio 2022: se utilizzi le immagini dei nodi Ubuntu, la versione 1.22.6-gke.1000 non risolve CVE-2021-22600. Aggiorneremo questo bollettino con le versioni delle patch di Ubuntu quando saranno disponibili. Aggiornamento del 23/02/2022: le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE sono state aggiornate con il codice per correggere queste vulnerabilità. Esegui l'upgrade dei cluster a una delle seguenti versioni GKE. 1.18.20-gke.6101 1.22.6-gke.1000 1.23.3-gke.1100 Aggiornamento del 04/02/2022: la data di inizio dell'implementazione delle versioni con patch di GKE è stata il 2 febbraio. Nota: queste versioni potrebbero non essere immediatamente disponibili nei tuoi cluster. I rollout sono iniziati il 2 febbraio e richiedono quattro o più giorni lavorativi per essere completati in tutte le zone Google Cloud. Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE sono state aggiornate con il codice per correggere queste vulnerabilità. Esegui l'upgrade dei cluster a una delle seguenti versioni GKE. 1.19.16-gke.6100 1.20.15-gke.300 1.21.9-gke.300 Se utilizzi immagini dei nodi Ubuntu, queste versioni non risolvono il problema CVE-2021-22600. Aggiorneremo questo bollettino con le versioni delle patch di Ubuntu non appena saranno disponibili. Sono in corso anche le versioni 1.22 e 1.23. Aggiorneremo questo bollettino con le versioni specifiche non appena saranno disponibili. Quale vulnerabilità viene affrontata da questa patch? CVE-2021-4154 CVE-2021-22600 CVE-2022-0185

Alta

Cluster GKE su

Aggiornamento: 23/02/2022

Descrizione

Gravità

Nel kernel Linux sono state scoperte tre vulnerabilità di sicurezza, CVE-2021-4154, CVE-2021-22600, e CVE-2022-0185, ognuna delle quali può portare a un'container breakout, a un'escalation dei privilegi sull'host o a entrambe. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi (COS e Ubuntu) su GKE, GKE su VMware, GKE su AWS (attuale e generazione precedente) e GKE su Azure. Per ulteriori dettagli, consulta le note di rilascio di COS. Dettagli tecnici In CVE-2021-4154, un utente malintenzionato può sfruttare il parametro di chiamata di sistema fsconfig per attivare un bug di uso dopo svuotamento nel kernel di Linux, ottenendo così i privilegi di root. Si tratta di un attacco di escalation dei privilegi locale che porterà a uncontainer breakout. CVE-2021-22600 è un exploit di doppio sblocco in packet_set_ring che può portare a un attacco di container escape sul nodo host. Con CVE-2022-0185, un bug di overflow dell'heap in legacy_parse_param() può portare a una scrittura fuori limite che causerà uncontainer breakout. Sono protetti anche gli utenti che hanno abilitato manualmente il profilo seccomp del runtime del contenitore predefinito sui cluster GKE Standard. Che cosa devo fare? Aggiornamento del 23 febbraio 2022: la versione 1.10.2 (corregge CVE-2021-22600, CVE-2021-4154 e CVE-2022-0185) è ora programmata per il 1° marzo. Aggiornamento del 23/02/2022: sono state aggiunte le versioni con patch che risolvono il problema CVE-2021-2260. La versione 1.10.1 non risolve la vulnerabilità CVE-2021-22600, ma risolve le altre vulnerabilità. Le versioni 1.9.4 e 1.10.2, entrambe non rilasciate, risolveranno CVE-2021-22600. Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE on VMware sono state aggiornate con il codice per correggere queste vulnerabilità. Esegui l'upgrade dei cluster a una delle seguenti versioni di GKE on VMware: 1.10.1 (correzione di CVE-2021-4154 e CVE-2022-0185. Rilasciato il 10 febbraio) 1.8.7 (correzione di CVE-2021-22600, CVE-2021-4154 e CVE-2022-0185. Rilasciato il 17 febbraio) 1.9.4 (correzione di CVE-2021-22600, CVE-2021-4154 e CVE-2022-0185. Rilasciato il 23 febbraio) 1.10.2 (corregge CVE-2021-22600, CVE-2021-4154 e CVE-2022-0185. (Prevista per il 24 febbraio) Aggiornamento del 04/02/2022: sono state aggiunte informazioni sulle immagini Ubuntu che non risolvono CVE-2021-22600. Se utilizzi immagini dei nodi Ubuntu, le seguenti versioni non risolvono il problema CVE-2021-22600. Aggiorneremo questo bollettino quando le patch saranno disponibili. Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE on VMware sono state aggiornate con il codice per correggere queste vulnerabilità. Esegui l'upgrade dei cluster a una delle seguenti versioni GKE on VMware: 1.10.1 (solo aggiornamento COS. Il patch per Ubuntu sarà disponibile nella versione 1.10.2 (prevista per il 23 febbraio) 1.9.4 (prevista per il 15 febbraio) 1.8.7 (prevista per il 15 febbraio) Quale vulnerabilità viene affrontata da questa patch? CVE-2021-4154 CVE-2021-22600 CVE-2022-0185

Alta

Cluster GKE su

Descrizione

Gravità

Nota: questa sezione si applica alla generazione attuale e precedente di GKE su AWS. Nel kernel Linux sono state scoperte tre vulnerabilità di sicurezza, CVE-2021-4154, CVE-2021-22600, e CVE-2022-0185, ognuna delle quali può portare a un'container breakout, a un'escalation dei privilegi sull'host o a entrambe. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi (COS e Ubuntu) su GKE, GKE su VMware, GKE su AWS (attuale e generazione precedente) e GKE su Azure. Per ulteriori dettagli, consulta le note di rilascio di COS. Dettagli tecnici In CVE-2021-4154, un utente malintenzionato può sfruttare il parametro di chiamata di sistema fsconfig per attivare un bug di uso dopo svuotamento nel kernel di Linux, ottenendo così i privilegi di root. Si tratta di un attacco di escalation dei privilegi locale che porterà a uncontainer breakout. CVE-2021-22600 è un exploit di doppio sblocco in packet_set_ring che può portare a un attacco di container escape sul nodo host. Con CVE-2022-0185, un bug di overflow dell'heap in legacy_parse_param() può portare a una scrittura fuori limite che causerà uncontainer breakout. Sono protetti anche gli utenti che hanno attivato manualmente il profilo seccomp del runtime del contenitore predefinito sui cluster GKE Standard. Che cosa devo fare? GKE su AWS Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE su AWS sono state aggiornate con il codice per correggere queste vulnerabilità. Esegui l'upgrade dei cluster alla seguente versione di GKE su AWS: 1.21.6-gke.1500 e versioni successive (disponibile a febbraio) Se utilizzi le immagini dei nodi Ubuntu, questa versione non risolve CVE-2021-22600. Aggiorneremo questo bollettino quando le patch saranno disponibili. GKE su AWS (generazione precedente) Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE su AWS (generazione precedente) sono state aggiornate con il codice per correggere queste vulnerabilità. Esegui l'upgrade dei cluster a una delle seguenti versioni di GKE su AWS (generazione precedente): 1.19.16-gke.5300 1.20.14-gke.2000 1.21.8-gke.2000 Se utilizzi immagini dei nodi Ubuntu, queste versioni non risolvono il problema CVE-2021-22600. Aggiorneremo questo bollettino quando le patch saranno disponibili. Quale vulnerabilità viene affrontata da questa patch? CVE-2021-4154 CVE-2021-22600 CVE-2022-0185

Alta

GKE Enterprise su

Descrizione

Gravità

Nel kernel Linux sono state scoperte tre vulnerabilità di sicurezza, CVE-2021-4154, CVE-2021-22600, e CVE-2022-0185, ognuna delle quali può portare a un'container breakout, a un'escalation dei privilegi sull'host o a entrambe. Queste vulnerabilità interessano tutti i sistemi operativi dei nodi (COS e Ubuntu) su GKE, GKE su VMware, GKE su AWS (attuale e generazione precedente) e GKE su Azure. Per ulteriori dettagli, consulta le note di rilascio di COS. Dettagli tecnici In CVE-2021-4154, un utente malintenzionato può sfruttare il parametro di chiamata di sistema fsconfig per attivare un bug di uso dopo svuotamento nel kernel di Linux, ottenendo così i privilegi di root. Si tratta di un attacco di escalation dei privilegi locale che porterà a uncontainer breakout. CVE-2021-22600 è un exploit di doppio sblocco in packet_set_ring che può portare a un attacco di container escape sul nodo host. Con CVE-2022-0185, un bug di overflow dell'heap in legacy_parse_param() può portare a una scrittura fuori limite che causerà uncontainer breakout. Sono protetti anche gli utenti che hanno attivato manualmente il profilo seccomp del runtime del contenitore predefinito sui cluster GKE Standard. Che cosa devo fare? Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE su Azure sono state aggiornate con il codice per correggere queste vulnerabilità. Esegui l'upgrade dei cluster alla seguente versione di GKE su Azure: 1.21.6-gke.1500 e versioni successive (disponibile a febbraio) Se utilizzi le immagini dei nodi Ubuntu, questa versione non risolve CVE-2021-22600. Aggiorneremo questo bollettino quando le patch saranno disponibili. Quale vulnerabilità viene affrontata da questa patch? CVE-2021-4154 CVE-2021-22600 CVE-2022-0185

Alta

GCP-2021-024

Pubblicato il: 21/10/2021
Riferimento: CVE-2021-25742

GKE

Descrizione

Gravità

È stato scoperto un problema di sicurezza nel controller ingress-nginx di Kubernetes, CVE-2021-25742. Gli snippet personalizzati di Ingress-nginx consentono di recuperare i token e i secret degli account di servizio ingress-nginx in tutti gli spazi dei nomi. Che cosa devo fare? Questo problema di sicurezza non influisce sull'infrastruttura del cluster GKE o su qualsiasi infrastruttura del cluster degli ambienti GKE Enterprise. Se utilizzi ingress-nginx nei tuoi deployment dei workload, devi essere a conoscenza di questo problema di sicurezza. Per ulteriori dettagli, consulta il problema 7837 di ingress-nginx.

Nessuno

Cluster GKE su

Descrizione

Gravità

È stato scoperto un problema di sicurezza nel controller ingress-nginx di Kubernetes, CVE-2021-25742. Gli snippet personalizzati di Ingress-nginx consentono di recuperare i token e i secret degli account di servizio ingress-nginx in tutti gli spazi dei nomi. Che cosa devo fare? Questo problema di sicurezza non influisce sull'infrastruttura del cluster GKE o su qualsiasi infrastruttura del cluster degli ambienti GKE Enterprise. Se utilizzi ingress-nginx nei tuoi deployment dei workload, devi essere a conoscenza di questo problema di sicurezza. Per ulteriori dettagli, consulta il problema 7837 di ingress-nginx.

Nessuno

Cluster GKE su

Descrizione

Gravità

È stato rilevato un problema di sicurezza nel controller ingress-nginx di Kubernetes, CVE-2021-25742. Gli snippet personalizzati di Ingress-nginx consentono di recuperare i token e i secret degli account di servizio ingress-nginx in tutti gli spazi dei nomi. Che cosa devo fare? Questo problema di sicurezza non influisce sull'infrastruttura del cluster GKE o su qualsiasi infrastruttura del cluster degli ambienti GKE Enterprise. Se utilizzi ingress-nginx nei tuoi deployment dei workload, devi essere a conoscenza di questo problema di sicurezza. Per ulteriori dettagli, consulta il problema 7837 di ingress-nginx.

Nessuno

Cluster GKE su

Descrizione

Gravità

È stato scoperto un problema di sicurezza nel controller ingress-nginx di Kubernetes, CVE-2021-25742. Gli snippet personalizzati di Ingress-nginx consentono di recuperare i token e i secret degli account di servizio ingress-nginx in tutti gli spazi dei nomi. Che cosa devo fare? Questo problema di sicurezza non influisce sull'infrastruttura del cluster GKE o su qualsiasi infrastruttura del cluster degli ambienti GKE Enterprise. Se utilizzi ingress-nginx nei tuoi deployment dei workload, devi essere a conoscenza di questo problema di sicurezza. Per ulteriori dettagli, consulta il problema 7837 di ingress-nginx.

Nessuno

GCP-2021-019

Pubblicato il: 29/09/2021

GKE

Descrizione

Gravità

Esiste un problema noto relativo all'aggiornamento di una risorsa BackendConfig utilizzando l'API v1beta1 che rimuove un criterio di sicurezza Google Cloud Armor attivo dal servizio. Sono interessato? Se BackendConfig è già stato aggiornato con l'API v1beta1, il criterio di sicurezza di Google Cloud Armor potrebbe essere stato rimosso. Per determinare se ciò è avvenuto, esegui il seguente comando: kubectl get backendconfigs -A -o json | \ jq -r '.items[] | select(.spec.securityPolicy == {}) | .metadata | "\(.namespace)/\(.name)"' Se la risposta restituisce un output: il problema riguarda il tuo cluster. L'output di questo comando restituisce un elenco di risorse BackendConfig (<namespace>/<name>) interessate dal problema. Se l'output è vuoto: BackendConfig non è stato aggiornato utilizzando l'API v1beta1 da quando è stato introdotto il problema. Eventuali aggiornamenti futuri al tuo BackendConfig devono utilizzare solo v1. Questo problema riguarda le seguenti versioni di GKE: Da 1.18.19-gke.1400 a 1.18.20-gke.5100 (esclusivo) Da 1.19.10-gke.700 a 1.19.14-gke.300 (esclusivo) Da 1.20.6-gke.700 a 1.20.9-gke.900 (escluso) Da 1.21 a 1.21.1-gke.2700 (esclusivo) Se non configuri Google Cloud Armor nelle risorse Ingress tramite BackendConfig, questo problema non influisce sui tuoi cluster. Che cosa devo fare? Esegui l'upgrade del piano di controllo GKE a una delle seguenti versioni aggiornate che correggono il problema e consentono di utilizzare in sicurezza le risorse v1beta1 BackendConfig: 1.21.1-gke.2700 e versioni successive 1.20.9-gke.900 e versioni successive 1.19.14-gke.300 e versioni successive 1.18.20-gke.5100 e versioni successive Questo problema può essere evitato anche evitando il deployment delle risorse v1beta1 BackendConfig. Se configuri Google Cloud Armor sulle risorse Ingress tramite BackendConfig e hai riscontrato che i passaggi precedenti ti riguardano, abilita di nuovo Google Cloud Armor inviando un aggiornamento alla tua risorsa BackendConfig attuale con la versione dell'API cloud.google.com/v1 . Per evitare questo problema, esegui aggiornamenti a BackendConfig solo utilizzando v1 l'API BackendConfig. Poiché v1 BackendConfig supporta tutti gli stessi campi di v1beta1 e non apporta modifiche che comportano interruzioni, il campo dell'API può essere aggiornato in modo trasparente. Per farlo, sostituisci il campo apiVersion di qualsiasi manifest BackendConfig attivo con cloud.google.com/v1 e non utilizzare cloud.google.com/v1beta1. Il seguente manifest di esempio descrive una risorsa BackendConfig che utilizza l'API v1: apiVersion: cloud.google.com/v1 kind: BackendConfig metadata: name: my-backend-config spec: securityPolicy: name: "ca-how-to-security-policy" Se hai sistemi o strumenti CI/CD che aggiornano regolarmente le risorse BackendConfig, assicurati di utilizzare il gruppo di API cloud.google.com/v1 in questi sistemi

Bassa

GCP-2021-022

Pubblicato il: 23/09/2021

Cluster GKE su

Descrizione

Gravità

È stata scoperta una vulnerabilità nel modulo LDAP di GKE Enterprise Identity Service (AIS) di GKE sulle versioni 1.8 e 1.8.1 di VMware, in cui una chiave di seed utilizzata per la generazione delle chiavi è prevedibile. Con questa vulnerabilità, un utente autenticato potrebbe aggiungere rivendicazioni arbitrarie ed eseguire l'escalation dei privilegi a tempo indeterminato. Dettagli tecnici Un'aggiunta recente al codice AIS crea chiavi simmetriche utilizzando il modulo math/rand di golang, che non è adatto per il codice sensibile alla sicurezza. Il modulo viene utilizzato in modo da generare una chiave prevedibile. Durante la verifica dell'identità viene generata una chiave STS (Secure Token Service) che viene successivamente criptata con una chiave simmetrica di facile derivazione. Che cosa devo fare? Questa vulnerabilità interessa solo i clienti che utilizzano AIS in GKE on VMware nelle versioni 1.8 e 1.8.1. Per gli utenti di GKE on VMware 1.8, esegui l'upgrade dei cluster alla seguente versione: 1.8.2

Alta

GCP-2021-021

Pubblicato il: 22/09/2021
Riferimento: CVE-2020-8561

GKE

Descrizione

Gravità

In Kubernetes è stata scoperta una vulnerabilità di sicurezza, CVE-2020-8561, che consente di creare determinati webhook per reindirizzare le richieste kube-apiserver alle reti private del server API. Dettagli tecnici Con questa vulnerabilità, gli attori che controllano le risposte delle richieste MutatingWebhookConfiguration o ValidatingWebhookConfiguration sono in grado di reindirizzare le richieste kube-apiserver alle reti private del server API. Se l'utente può visualizzare i log kube-apiserver quando il livello del log è impostato su 10, può visualizzare le risposte e le intestazioni reindirizzate nei log. Questo problema può essere attenuato modificando determinati parametri per il server API. Che cosa devo fare? Al momento non è richiesta alcuna azione. Le versioni attualmente disponibili di GKE e GKE Enterprise hanno implementato le seguenti mitigazioni che proteggono da questo tipo di attacco: Il flag --profiling per kube-apiserver è impostato su false. Il livello di log kube-apiserver è impostato su un valore inferiore a 10. Quale vulnerabilità viene affrontata da questa patch? <pCVE-2020-8561 </p

Medio

Cluster GKE su

Descrizione

Gravità

In Kubernetes è stata scoperta una vulnerabilità di sicurezza, CVE-2020-8561, che consente di creare determinati webhook per reindirizzare le richieste kube-apiserver alle reti private del server API. Dettagli tecnici Con questa vulnerabilità, gli attori che controllano le risposte delle richieste MutatingWebhookConfiguration o ValidatingWebhookConfiguration sono in grado di reindirizzare le richieste kube-apiserver alle reti private del server API. Se l'utente può visualizzare i log kube-apiserver quando il livello del log è impostato su 10, può visualizzare le risposte e le intestazioni reindirizzate nei log. Questo problema può essere attenuato modificando determinati parametri per il server API. Che cosa devo fare? Al momento non è richiesta alcuna azione. Le versioni attualmente disponibili di GKE e GKE Enterprise hanno implementato le seguenti mitigazioni che proteggono da questo tipo di attacco: Il flag --profiling per kube-apiserver è impostato su false. Il livello di log kube-apiserver è impostato su un valore inferiore a 10. Quale vulnerabilità viene affrontata da questa patch? <pCVE-2020-8561 </p

Medio

Cluster GKE su

Descrizione

Gravità

In Kubernetes è stata scoperta una vulnerabilità di sicurezza, CVE-2020-8561, che consente di creare determinati webhook per reindirizzare le richieste kube-apiserver alle reti private del server API. Dettagli tecnici Con questa vulnerabilità, gli attori che controllano le risposte delle richieste MutatingWebhookConfiguration o ValidatingWebhookConfiguration sono in grado di reindirizzare le richieste kube-apiserver alle reti private del server API. Se l'utente può visualizzare i log kube-apiserver quando il livello del log è impostato su 10, può visualizzare le risposte e le intestazioni reindirizzate nei log. Questo problema può essere attenuato modificando determinati parametri per il server API. Che cosa devo fare? Al momento non è richiesta alcuna azione. Le versioni attualmente disponibili di GKE e GKE Enterprise hanno implementato le seguenti mitigazioni che proteggono da questo tipo di attacco: Il flag --profiling per kube-apiserver è impostato su false. Il livello di log kube-apiserver è impostato su un valore inferiore a 10. Quale vulnerabilità viene affrontata da questa patch? <pCVE-2020-8561 </p

Medio

Cluster GKE su

Descrizione

Gravità

In Kubernetes è stata scoperta una vulnerabilità di sicurezza, CVE-2020-8561, che consente di creare determinati webhook per reindirizzare le richieste kube-apiserver alle reti private del server API. Dettagli tecnici Con questa vulnerabilità, gli attori che controllano le risposte delle richieste MutatingWebhookConfiguration o ValidatingWebhookConfiguration sono in grado di reindirizzare le richieste kube-apiserver alle reti private del server API. Se l'utente può visualizzare i log kube-apiserver quando il livello del log è impostato su 10, può visualizzare le risposte e le intestazioni reindirizzate nei log. Questo problema può essere attenuato modificando determinati parametri per il server API. Che cosa devo fare? Al momento non è richiesta alcuna azione. Le versioni attualmente disponibili di GKE e GKE Enterprise hanno implementato le seguenti mitigazioni che proteggono da questo tipo di attacco: Il flag --profiling per kube-apiserver è impostato su false. Il livello di log kube-apiserver è impostato su un valore inferiore a 10. Quale vulnerabilità viene affrontata da questa patch? <pCVE-2020-8561 </p

Medio

GCP-2021-018

Pubblicato il: 15/09/2021
Aggiornamento: 24/09/2021
Riferimento: CVE-2021-25741

Aggiornamento del 24/09/2021: il bollettino GKE on Bare Metal è stato aggiornato con altre versioni con patch.

Aggiornamento del 20/09/2021: aggiunti bollettini per GKE on Bare Metal

Aggiornamento del 16/09/2021: aggiunti bollettini per GKE su VMware

---

GKE

Descrizione

Gravità

È stato scoperto un problema di sicurezza in Kubernetes, CVE-2021-25741, per cui un utente potrebbe essere in grado di creare un container con montaggi di volume del sottopercorso per accedere a file e directory al di fuori del volume, incluso il file system dell'host. Dettagli tecnici: Nella vulnerabilità CVE-2021-25741, l'utente malintenzionato può creare un link simbolico da un emptyDir montato al file system principale del nodo ( / ), kubelet seguirà il link simbolico e monterà la home directory dell'host nel contenitore. Che cosa devo fare? Per usufruire delle patch più recenti, ti consigliamo di eseguire l'upgrade dei pool di nodi a una delle seguenti versioni o versioni successive: 1.21.4-gke.301 1.20.10-gke.301 1.19.14-gke.301 1.18.20-gke.4501 Anche le seguenti versioni contengono la correzione: 1.21.3-gke.2001 1.20.8-gke.2101 1.20.9-gke.701 1.20.9-gke.1001 1.19.12-gke.2101 1.19.13-gke.701 1.18.20-gke.3001

Alta

Cluster GKE su

Descrizione

Gravità

È stato scoperto un problema di sicurezza in Kubernetes, CVE-2021-25741, per cui un utente potrebbe essere in grado di creare un container con montaggi di volume del sottopercorso per accedere a file e directory al di fuori del volume, incluso il file system dell'host. Dettagli tecnici: Nella vulnerabilità CVE-2021-25741, l'utente malintenzionato può creare un link simbolico da un emptyDir montato al file system principale del nodo ( / ), kubelet seguirà il link simbolico e monterà la home directory dell'host nel contenitore. Che cosa devo fare? Aggiornamento del 24-09-2021: sono ora disponibili le versioni con patch 1.8.3 e 1.7.4. Aggiornamento del 17/09/2021: è stato corretto l'elenco delle versioni disponibili che contengono la patch. Le seguenti versioni di GKE on VMware sono state aggiornate con codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster di amministrazione e dei cluster utente a una delle seguenti versioni: 1.8.3 1.8.2 1.7.4 1.6.5

Alta

Cluster GKE su

Descrizione

Gravità

È stato scoperto un problema di sicurezza in Kubernetes, CVE-2021-25741, per cui un utente potrebbe essere in grado di creare un container con montaggi di volume del sottopercorso per accedere a file e directory al di fuori del volume, incluso il file system dell'host. Dettagli tecnici: Nella vulnerabilità CVE-2021-25741, l'utente malintenzionato può creare un link simbolico da un emptyDir montato al file system principale del nodo ( / ), kubelet seguirà il link simbolico e monterà la home directory dell'host nel contenitore. Che cosa devo fare? Aggiornamento del 16/09/2021: è stato aggiunto l'elenco delle versioni gke supportate per gli oggetti AWSCluster e AWSNodePool. Le seguenti versioni di GKE su AWS sono state aggiornate con il codice per correggere questa vulnerabilità. Ti consigliamo di: Esegui l'upgrade degli oggetti AWSManagementService, AWSCluster e AWSNodePool alla seguente versione: 1.8.2 Aggiorna la versione gke degli oggetti AWSCluster e AWSNodePool a una delle versioni di Kubernetes supportate: 1.17.17-gke.15800 1.18.20-gke.4800 1.19.14-gke.600 1.20.10-gke.600

Alta

Cluster GKE su

Descrizione

Gravità

È stato scoperto un problema di sicurezza in Kubernetes, CVE-2021-25741, per cui un utente potrebbe essere in grado di creare un container con montaggi di volume del sottopercorso per accedere a file e directory al di fuori del volume, incluso il file system dell'host. Dettagli tecnici: Nella vulnerabilità CVE-2021-25741, l'utente malintenzionato può creare un link simbolico da un emptyDir montato al file system principale del nodo ( / ), kubelet seguirà il link simbolico e monterà la home directory dell'host nel contenitore. Che cosa devo fare? Le seguenti versioni di GKE on Bare Metal sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster di amministrazione e dei cluster utente a una delle seguenti versioni: 1.8.3 1.7.4

Alta

GCP-2021-017

Pubblicato: 01-09-2021
Aggiornato: 23-09-2021
Riferimento: CVE-2021-33909
CVE-2021-33910

GKE

Descrizione

Gravità

Aggiornamento del 23/09/2021: I container in esecuzione all'interno di GKE Sandbox non sono interessati da questa vulnerabilità per gli attacchi provenienti dall'interno del container. Aggiornamento del 15/09/2021: Le seguenti versioni di GKE risolvono le vulnerabilità: 1.18.20-gke.4100 1.19.13-gke.1900 1.20.9-gke.1500 1.21.3-gke.1400 Nel kernel di Linux sono state scoperte due vulnerabilità di sicurezza, CVE-2021-33909 e CVE-2021-33910, che possono portare a un arresto anomalo del sistema operativo o a un'escalation a root da parte di un utente senza privilegi. Questa vulnerabilità interessa tutti i sistemi operativi dei nodi GKE (COS e Ubuntu). Dettagli tecnici: In CVE-2021-33909, il livello del file system del kernel di Linux non limita correttamente le allocazioni degli buffer seq, causando un overflow di interi, una scrittura fuori limite e la riassegnazione a root. Con la vulnerabilità CVE-2021-33910, systemd ha un'allocazione di memoria con un valore di dimensione eccessivo (che coinvolge strdupa e alloca per un percorso controllato da un utente malintenzionato locale) che provoca un arresto anomalo del sistema operativo. Che cosa devo fare? Le versioni delle immagini dei nodi Linux per le seguenti versioni di GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster a una delle seguenti versioni: 1.18.20-gke.4100 1.19.13-gke.1900 1.20.9-gke.1500 1.21.3-gke.1400

Alta

Cluster GKE su

Descrizione

Gravità

Nel kernel di Linux sono state scoperte due vulnerabilità di sicurezza, CVE-2021-33909 e CVE-2021-33910, che possono portare a un arresto anomalo del sistema operativo o a un'escalation a utente root da parte di un utente senza privilegi. Questa vulnerabilità interessa tutti i sistemi operativi dei nodi GKE (COS e Ubuntu). Dettagli tecnici: In CVE-2021-33909, il livello del file system del kernel di Linux non limita correttamente le allocazioni degli buffer seq, causando un overflow di interi, una scrittura fuori limite e la riassegnazione a root. Con la vulnerabilità CVE-2021-33910, systemd ha un'allocazione di memoria con un valore di dimensione eccessivo (che coinvolge strdupa e alloca per un percorso controllato da un utente malintenzionato locale) che provoca un arresto anomalo del sistema operativo. Che cosa devo fare? Le versioni delle immagini dei nodi Linux per GKE su AWS sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster a una delle seguenti versioni: 1.20.10-gke.600 1.19.14-gke.600 1.18.20-gke.4800 1.17.17-gke.15800

Alta

Cluster GKE su

Descrizione

Gravità

Nel kernel di Linux sono state scoperte due vulnerabilità di sicurezza, CVE-2021-33909 e CVE-2021-33910, che possono portare a un arresto anomalo del sistema operativo o a un'escalation a root da parte di un utente senza privilegi. Questa vulnerabilità interessa tutti i sistemi operativi dei nodi GKE (COS e Ubuntu). Dettagli tecnici: In CVE-2021-33909, il livello del file system del kernel di Linux non limita correttamente le allocazioni degli buffer seq, causando un overflow di interi, una scrittura fuori limite e la riassegnazione a root. Con la vulnerabilità CVE-2021-33910, systemd ha un'allocazione di memoria con un valore di dimensione eccessivo (che coinvolge strdupa e alloca per un percorso controllato da un utente malintenzionato locale) che provoca un arresto anomalo del sistema operativo. Che cosa devo fare? Le versioni delle immagini dei nodi Linux e COS per GKE su VMware sono state aggiornate con codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster a una delle seguenti versioni: 1.9 1.8.2 1.7.3 1.6.4 (solo Linux) Consulta Cronologia delle versioni: versioni del kernel di Kubernetes e dei nodi.

Alta

GCP-2021-015

Pubblicato il: 13/07/2021
Aggiornamento: 15/07/2021
Riferimento: CVE-2021-22555

GKE

Descrizione

Gravità

È stata scoperta una nuova vulnerabilità di sicurezza, CVE-2021-22555, in cui un attore malintenzionato con privilegi CAP_NET_ADMIN può potenzialmente causare uncontainer breakout per ottenere i privilegi di root sull'host. Questa vulnerabilità riguarda tutti i cluster GKE e GKE on VMware che eseguono Linux versione 2.6.19 o successive. Dettagli tecnici In questo attacco, una scrittura fuori limite in setsockopt nel sottosistema netfilter in Linux può consentire la corruzione dell'heap (e quindi il denial of service) e l'escalation dei privilegi. Che cosa devo fare? Le seguenti versioni di Linux on GKE sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster a una delle seguenti versioni: 1.21.1-gke.2200 1.20.7-gke.2200 1.19.11-gke.2100 1.18.20-gke.501 Quale vulnerabilità viene affrontata da questa patch? CVE-2021-22555

Alta

Cluster GKE su

Descrizione

Gravità

È stata scoperta una nuova vulnerabilità di sicurezza, CVE-2021-22555, in cui un attore malintenzionato con privilegi CAP_NET_ADMIN può potenzialmente causare uncontainer breakout per ottenere i privilegi di root sull'host. Questa vulnerabilità riguarda tutti i cluster GKE e GKE on VMware che eseguono Linux versione 2.6.19 o successive. Dettagli tecnici In questo attacco, una scrittura fuori limite in setsockopt nel sottosistema netfilter in Linux può consentire la corruzione dell'heap (e quindi il denial of service) e l'escalation dei privilegi. Che cosa devo fare? Le seguenti versioni di Linux on GKE su VMware sono state aggiornate con il codice per correggere questa vulnerabilità. Esegui l'upgrade dei cluster a una delle seguenti versioni: 1.8 1.7.3 1.6.4 Quale vulnerabilità viene affrontata da questa patch? CVE-2021-22555

Alta

GCP-2021-014

Pubblicato il: 05/07/2021
Riferimento: CVE-2021-34527

GKE

Descrizione

Gravità

Microsoft ha pubblicato un bollettino sulla sicurezza relativo a una vulnerabilità di esecuzione di codice remoto (RCE), CVE-2021-34527, che interessa lo spooler di stampa nei server Windows. Il CERT Coordination Center (CERT/CC) ha pubblicato una nota di aggiornamento su una vulnerabilità correlata, denominata "PrintNightmare", che interessa anche gli spooler di stampa di Windows: PrintNightmare, Critical Windows Print Spooler Vulnerability Che cosa devo fare? Non è richiesta alcuna azione da parte tua. I nodi Windows GKE non contengono il servizio Spooler interessato nell'immagine di base, pertanto i deployment Windows GKE non sono vulnerabili a questo attacco. Quali vulnerabilità vengono affrontate da questo bollettino? PrintNightmare CVE-2021-34527

Alta

GCP-2021-012

Pubblicato il: 01/07/2021
Aggiornamento: 09/07/2021
Riferimento: CVE-2021-34824

GKE

Descrizione

Gravità

Che cosa devo fare? Di recente il progetto Istio ha divulgato una nuova vulnerabilità di sicurezza (CVE-2021-34824) che interessa Istio. Istio contiene una vulnerabilità sfruttabile da remoto in cui è possibile accedere alle credenziali specificate nel campo credentialName di Gateway e DestinationRule da diversi spazi dei nomi. Dettagli tecnici: Il gateway sicuro Istio o i carichi di lavoro che utilizzano DestinationRule possono caricare chiavi private e certificati TLS dai secret di Kubernetes tramite la configurazione credentialName. A partire da Istio 1.8 e versioni successive, i secret vengono letti da istiod e trasmessi a gateway e carichi di lavoro tramite XDS. In genere, un deployment di gateway o di workload è in grado di accedere solo ai certificati TLS e alle chiavi private memorizzati nel segreto all'interno del proprio spazio dei nomi. Tuttavia, un bug in istiod consente a un client autorizzato ad accedere all'API Istio XDS di recuperare qualsiasi certificato TLS e chiavi private memorizzate nella cache in istiod. Che cosa devo fare? I cluster GKE non eseguono Istio per impostazione predefinita e, se abilitato, utilizzano la versione 1.6 di Istio, che non è vulnerabile a questo attacco. Se hai installato o eseguito l'upgrade di Istio sul cluster a Istio 1.8 o versioni successive, esegui l'upgrade di Istio alla versione supportata più recente.

Alta

Cluster GKE su

Descrizione

Gravità

Che cosa devo fare? Di recente il progetto Istio ha divulgato una nuova vulnerabilità di sicurezza (CVE-2021-34824) che interessa Istio. Istio contiene una vulnerabilità sfruttabile da remoto in cui è possibile accedere alle credenziali specificate nel campo credentialName di Gateway e DestinationRule da diversi spazi dei nomi. Dettagli tecnici: Il gateway sicuro Istio o i carichi di lavoro che utilizzano DestinationRule possono caricare chiavi private e certificati TLS dai secret di Kubernetes tramite la configurazione credentialName. A partire da Istio 1.8 e versioni successive, i secret vengono letti da istiod e trasmessi a gateway e carichi di lavoro tramite XDS. In genere, un deployment di gateway o di workload è in grado di accedere solo ai certificati TLS e alle chiavi private memorizzati nel segreto all'interno del proprio spazio dei nomi. Tuttavia, un bug in istiod consente a un client autorizzato ad accedere all'API Istio XDS di recuperare qualsiasi certificato TLS e chiavi private memorizzate nella cache in istiod. Che cosa devo fare? Cluster Anthos su VMware 1.6 e 1.7 non sono vulnerabili a questo attacco. Cluster Anthos su VMware v1.8 sono vulnerabili. Se utilizzi Cluster Anthos su VMware 1.8, esegui l'upgrade alla seguente versione con patch o a una successiva: 1.8.0-gke.25

Alta

Cluster GKE su

Descrizione

Gravità

Che cosa devo fare? Di recente il progetto Istio ha divulgato una nuova vulnerabilità di sicurezza (CVE-2021-34824) che interessa Istio. Istio contiene una vulnerabilità sfruttabile da remoto in cui è possibile accedere alle credenziali specificate nel campo credentialName di Gateway e DestinationRule da diversi spazi dei nomi. Dettagli tecnici: Il gateway sicuro Istio o i carichi di lavoro che utilizzano DestinationRule possono caricare chiavi private e certificati TLS dai secret di Kubernetes tramite la configurazione credentialName. A partire da Istio 1.8 e versioni successive, i secret vengono letti da istiod e trasmessi a gateway e carichi di lavoro tramite XDS. In genere, un deployment di gateway o di workload è in grado di accedere solo ai certificati TLS e alle chiavi private memorizzati nel segreto all'interno del proprio spazio dei nomi. Tuttavia, un bug in istiod consente a un client autorizzato ad accedere all'API Istio XDS di recuperare qualsiasi certificato TLS e chiavi private memorizzate nella cache in istiod. I cluster creati o di cui è stato eseguito l'upgrade con Anthos clusters on bare metal 1.8.0 sono interessati da questa CVE. Che cosa devo fare? Anthos 1.6 e 1.7 non sono vulnerabili a questo attacco. Se hai cluster della versione 1.8.0, scarica e installa la versione 1.8.1 di bmctl ed esegui l'upgrade dei cluster alla seguente versione con patch: 1.8.1

Alta

GCP-2021-011

Pubblicato: 04/06/2021
Aggiornato: 19/10/2021
Riferimento: CVE-2021-30465

Aggiornamento del 19/10/2021: sono stati aggiunti bollettini per GKE su VMware, GKE su AWS e GKE on Bare Metal.

GKE

Descrizione

Gravità

La community di sicurezza ha recentemente divulgato una nuova vulnerabilità di sicurezza (CVE-2021-30465) trovata in runc che potrebbe consentire l'accesso completo al file system di un nodo. Per GKE, poiché lo sfruttamento di questa vulnerabilità richiede la possibilità di creare pod, abbiamo valutato la gravità di questa vulnerabilità come MEDIA. Dettagli tecnici Il pacchetto runc è vulnerabile a un attacco di scambio di link simbolici durante il montaggio di un volume. Per questo attacco specifico, un utente può potenzialmente sfruttare una race condition avviando contemporaneamente più pod su un singolo nodo, che condividono tutti lo stesso montaggio del volume con un link simbolico. Se l'attacco va a buon fine, uno dei pod monterà il file system del nodo con le autorizzazioni di root. Che cosa devo fare? È stata rilasciata una patch per runc (1.0.0-rc95) che corregge questa vulnerabilità. Esegui l'upgrade del cluster GKE a una delle seguenti versioni aggiornate: 1.18.19-gke.2100 1.19.9-gke.1400 1.20.6-gke.1400 1.21.2-gke.600

Medio

Cluster GKE su

Descrizione

Gravità

La community di sicurezza ha recentemente divulgato una nuova vulnerabilità di sicurezza (CVE-2021-30465) trovata in runc che potrebbe consentire l'accesso completo al file system di un nodo. Per GKE su VMware, poiché lo sfruttamento di questa vulnerabilità richiede la possibilità di creare pod, abbiamo valutato la gravità di questa vulnerabilità come MEDIA. Dettagli tecnici Il pacchetto runc è vulnerabile a un attacco di scambio di link simbolici durante il montaggio di un volume. Per questo attacco specifico, un utente può potenzialmente sfruttare una race condition avviando contemporaneamente più pod su un singolo nodo, che condividono tutti lo stesso montaggio del volume con un link simbolico. Se l'attacco va a buon fine, uno dei pod monterà il file system del nodo con le autorizzazioni di root. Che cosa devo fare? È stata rilasciata una patch per runc che corregge questa vulnerabilità. Esegui l'upgrade di GKE on VMware a una delle seguenti versioni: 1.7.3-gke-2 1.8.1-gke.7 1.9.0-gke.8

Medio

Cluster GKE su

Descrizione

Gravità

La community di sicurezza ha recentemente divulgato una nuova vulnerabilità di sicurezza (CVE-2021-30465) trovata in runc che potrebbe consentire l'accesso completo al file system di un nodo. Poiché si tratta di una vulnerabilità a livello di sistema operativo, GKE su AWS non è vulnerabile. Dettagli tecnici Il pacchetto runc è vulnerabile a un attacco di scambio di link simbolici durante il montaggio di un volume. Per questo attacco specifico, un utente può potenzialmente sfruttare una race condition avviando contemporaneamente più pod su un singolo nodo, che condividono tutti lo stesso montaggio del volume con un link simbolico. Se l'attacco va a buon fine, uno dei pod monterà il file system del nodo con le autorizzazioni di root. Che cosa devo fare? Assicurati di eseguire l'upgrade della versione del sistema operativo su cui esegui GKE su AWS alla versione più recente del sistema operativo con un pacchetto runc aggiornato.

Nessuno

Cluster GKE su

Descrizione

Gravità

La community di sicurezza ha recentemente divulgato una nuova vulnerabilità di sicurezza (CVE-2021-30465) trovata in runc che potrebbe consentire l'accesso completo al file system di un nodo. Poiché si tratta di una vulnerabilità a livello di sistema operativo, GKE on Bare Metal non è vulnerabile. Dettagli tecnici Il pacchetto runc è vulnerabile a un attacco di scambio di link simbolici durante il montaggio di un volume. Per questo attacco specifico, un utente può potenzialmente sfruttare una race condition avviando contemporaneamente più pod su un singolo nodo, che condividono tutti lo stesso montaggio del volume con un link simbolico. Se l'attacco va a buon fine, uno dei pod monterà il file system del nodo con le autorizzazioni di root. Che cosa devo fare? Assicurati di eseguire l'upgrade della versione del sistema operativo su cui è in esecuzione Google Distributed Cloud Virtual for Bare Metal alla versione più recente del sistema operativo con un pacchetto runc aggiornato.

Nessuno

GCP-2021-006

Pubblicato: 11/05/2021
Riferimento: CVE-2021-31920

GKE

Descrizione

Gravità

Di recente il progetto Istio ha divulgato una nuova vulnerabilità di sicurezza (CVE-2021-31920) che interessa Istio. Istio contiene una vulnerabilità sfruttabile da remoto in cui una richiesta HTTP con più barre o caratteri barra emessi può aggirare il criterio di autorizzazione di Istio quando vengono utilizzate regole di autorizzazione basate sul percorso. Che cosa devo fare? Ti consigliamo vivamente di aggiornare e riconfigurare i tuoi cluster GKE. Tieni presente che è importante completare entrambi i passaggi riportati di seguito per risolvere correttamente la vulnerabilità: Aggiorna i cluster: segui le istruzioni riportate di seguito per eseguire l'upgrade dei cluster alle versioni più recenti delle patch il prima possibile: Se utilizzi Istio on GKE 1.6: La versione più recente della release della patch è 1.6.14-gke.3. Segui le istruzioni per l'upgrade per eseguire l'upgrade dei cluster alla versione più recente. Se utilizzi Istio on GKE 1.4: Le release di Istio on GKE 1.4 non sono più supportate da Istio e non eseguiamo il backport delle correzioni delle vulnerabilità CVE a queste versioni. Segui le istruzioni per l'upgrade di Istio per eseguire l'upgrade dei cluster a 1.6, quindi segui le istruzioni riportate sopra per ottenere la versione più recente di Istio on GKE 1.6. Configura Istio: Una volta applicati i patch ai cluster, devi riconfigurare Istio su GKE. Consulta la guida alle best practice per la sicurezza per configurare correttamente il sistema.

Alta

GCP-2021-004

Pubblicato il: 06/05/2021
Riferimento: CVE-2021-28683, CVE-2021-28682, CVE-2021-29258

GKE

Descrizione

Gravità

I progetti Envoy e Istio hanno recentemente annunciato diverse nuove vulnerabilità di sicurezza (CVE-2021-28683, CVE-2021-28682 e CVE-2021-29258), che potrebbero consentire a un malintenzionato di arrestare in modo anomalo Envoy. I cluster GKE non eseguono Istio per impostazione predefinita e non sono vulnerabili. Se Istio è stato installato in un cluster e configurato per esporre i servizi a internet, questi servizi potrebbero essere vulnerabili a un attacco di tipo denial of service. Che cosa devo fare? Per correggere queste vulnerabilità, esegui l'upgrade del piano di controllo GKE a una delle seguenti versioni con patch: 1.16.15-gke.16200 1.17.17-gke.6100 1.18.17-gke.1300 1.19.9-gke.1300 1.20.5-gke.1400

Medio

Cluster GKE su

Descrizione

Gravità

I progetti Envoy e Istio hanno recentemente annunciato diverse nuove vulnerabilità di sicurezza (CVE-2021-28683, CVE-2021-28682 e CVE-2021-29258), che potrebbero consentire a un malintenzionato di arrestare in modo anomalo Envoy. GKE su VMware utilizza Envoy per impostazione predefinita per Ingress, pertanto i servizi Ingress potrebbero essere vulnerabili a un attacco di tipo denial of service. Che cosa devo fare? Per correggere queste vulnerabilità, esegui l'upgrade di GKE on VMware a una delle seguenti versioni con patch al momento del rilascio: 1.5.4 1.6.3 1.7.1

Medio

Cluster GKE su

Aggiornamento: 06/05/2021

Descrizione

Gravità

I progetti Envoy e Istio hanno recentemente annunciato diverse nuove vulnerabilità di sicurezza (CVE-2021-28683, CVE-2021-28682 e CVE-2021-29258), che potrebbero consentire a un malintenzionato di arrestare in modo anomalo Envoy. Google Distributed Cloud Virtual for Bare Metal utilizza Envoy per impostazione predefinita per Ingress, pertanto i servizi Ingress potrebbero essere vulnerabili a un attacco di tipo denial of service. Che cosa devo fare? Per correggere queste vulnerabilità, esegui l'upgrade del tuo cluster Google Distributed Cloud Virtual for Bare Metal a una delle seguenti versioni con patch al momento del rilascio: 1.6.3 1.7.1

Medio

GCP-2021-003

Pubblicato il: 19/04/2021
Riferimento: CVE-2021-25735

GKE

Descrizione

Gravità

Di recente il progetto Kubernetes ha annunciato una nuova vulnerabilità di sicurezza, CVE-2021-25735, che potrebbe consentire agli aggiornamenti dei nodi di bypassare un webhook di ammissione con convalida. In uno scenario in cui un utente malintenzionato dispone di privilegi sufficienti e in cui è implementato un webhook di ammissione con convalida che utilizza le vecchie proprietà dell'oggetto Node (ad esempio i campi in Node.NodeSpec), l'utente malintenzionato potrebbe aggiornare le proprietà di un nodo che potrebbero portare alla compromissione di un cluster. Nessuna delle norme applicate dai controller di ammissione integrati di GKE e Kubernetes è interessata, ma consigliamo ai clienti di controllare eventuali webhook di ammissione aggiuntivi che hanno installato. Che cosa devo fare? Per correggere questa vulnerabilità, esegui l'upgrade del cluster GKE a una delle seguenti versioni con patch: 1.18.17-gke.900 1.19.9-gke.900 1.20.5-gke.900

Medio

Cluster GKE su

Descrizione

Gravità

Di recente il progetto Kubernetes ha annunciato una nuova vulnerabilità di sicurezza, CVE-2021-25735, che potrebbe consentire agli aggiornamenti dei nodi di bypassare un webhook di ammissione con convalida. In uno scenario in cui un utente malintenzionato dispone di privilegi sufficienti e in cui è implementato un webhook di ammissione con convalida che utilizza le vecchie proprietà dell'oggetto Node (ad esempio i campi in Node.NodeSpec), l'utente malintenzionato potrebbe aggiornare le proprietà di un nodo che potrebbero portare alla compromissione di un cluster. Nessuna delle norme applicate dai controller di ammissione integrati di GKE e Kubernetes è interessata, ma consigliamo ai clienti di controllare eventuali webhook di ammissione aggiuntivi che hanno installato. Che cosa devo fare? Una versione imminente della patch includerà una mitigazione per questa vulnerabilità.

Medio

Cluster GKE su

Descrizione

Gravità

Di recente il progetto Kubernetes ha annunciato una nuova vulnerabilità di sicurezza, CVE-2021-25735, che potrebbe consentire agli aggiornamenti dei nodi di bypassare un webhook di ammissione con convalida. In uno scenario in cui un utente malintenzionato dispone di privilegi sufficienti e in cui è implementato un webhook di ammissione con convalida che utilizza le vecchie proprietà dell'oggetto Node (ad esempio i campi in Node.NodeSpec), l'utente malintenzionato potrebbe aggiornare le proprietà di un nodo che potrebbero portare alla compromissione di un cluster. Nessuna delle norme applicate dai controller di ammissione integrati di GKE e Kubernetes è interessata, ma consigliamo ai clienti di controllare eventuali webhook di ammissione aggiuntivi che hanno installato. Che cosa devo fare? Una versione imminente della patch includerà una mitigazione per questa vulnerabilità.

Medio

Cluster GKE su

Descrizione

Gravità

Di recente il progetto Kubernetes ha annunciato una nuova vulnerabilità di sicurezza, CVE-2021-25735, che potrebbe consentire agli aggiornamenti dei nodi di bypassare un webhook di ammissione con convalida. In uno scenario in cui un utente malintenzionato dispone di privilegi sufficienti e in cui è implementato un webhook di ammissione con convalida che utilizza le vecchie proprietà dell'oggetto Node (ad esempio i campi in Node.NodeSpec), l'utente malintenzionato potrebbe aggiornare le proprietà di un nodo che potrebbero portare alla compromissione di un cluster. Nessuna delle norme applicate dai controller di ammissione integrati di GKE e Kubernetes è interessata, ma consigliamo ai clienti di controllare eventuali webhook di ammissione aggiuntivi che hanno installato. Che cosa devo fare? Una versione imminente della patch includerà una mitigazione per questa vulnerabilità.

Medio

GCP-2021-001

Pubblicato il: 28/01/2021
Riferimento: CVE-2021-3156

GKE

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità nell'utilità sudo per Linux, descritta in CVE-2021-3156, che potrebbe consentire a un utente malintenzionato con accesso alla shell locale senza privilegi su un sistema su cui è installato sudo di eseguire l'escalation dei propri privilegi a utente root sul sistema. I cluster Google Kubernetes Engine (GKE) non sono interessati da questa vulnerabilità: Gli utenti autorizzati a connettersi tramite SSH ai nodi GKE sono già considerati utenti con privilegi elevati e possono utilizzare sudo per ottenere i privilegi di root per progettazione. La vulnerabilità non genera percorsi di escalation dei privilegi aggiuntivi in questo scenario. La maggior parte dei contenitori di sistema GKE viene creata da immagini di base senza distribuzione che non hanno un shell o sudo installato. Le altre immagini vengono create da un'immagine base Debian che non contiene sudo. Anche se sudo fosse presente, l'accesso a sudo all'interno del contenitore non ti consente di accedere all'host a causa del confine del contenitore. Che cosa devo fare? Poiché i cluster GKE non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni. La patch per questa vulnerabilità verrà applicata a GKE in una release imminente con cadenza regolare.

Nessuno

Cluster GKE su

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità nell'utilità sudo per Linux, descritta in CVE-2021-3156, che potrebbe consentire a un utente malintenzionato con accesso alla shell locale senza privilegi su un sistema su cui è installato sudo di eseguire l'escalation dei propri privilegi a quelli di utente root sul sistema. GKE on VMware non è interessato da questa vulnerabilità: Gli utenti autorizzati a eseguire SSH su GKE sui nodi VMware sono già considerati utenti con privilegi elevati e possono utilizzare sudo per ottenere i privilegi di root per progettazione. La vulnerabilità non genera percorsi di escalation dei privilegi aggiuntivi in questo scenario. La maggior parte dei contenitori di sistema GKE su VMware viene creata da immagini di base senza distribuzione che non hanno un shell o sudo installato. Le altre immagini vengono create da un'immagine base Debian che non contiene sudo. Anche se sudo fosse presente, l'accesso a sudo all'interno del contenitore non ti consente di accedere all'host a causa del confine del contenitore. Che cosa devo fare? Poiché i cluster GKE su VMware non sono interessati da questa vulnerabilità, non sono richieste ulteriori azioni. La patch per questa vulnerabilità verrà applicata a GKE on VMware in una release imminente con cadenza regolare.

Nessuno

Cluster GKE su

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità nell'utilità sudo per Linux, descritta in CVE-2021-3156, che potrebbe consentire a un utente malintenzionato con accesso alla shell locale senza privilegi su un sistema su cui è installato sudo di eseguire l'escalation dei propri privilegi a quelli di utente root sul sistema. GKE su AWS non è interessato da questa vulnerabilità: Gli utenti autorizzati ad accedere tramite SSH a GKE sui nodi AWS sono già considerati utenti con privilegi elevati e possono utilizzare sudo per ottenere i privilegi di root per progettazione. La vulnerabilità non genera percorsi di escalation dei privilegi aggiuntivi in questo scenario. La maggior parte dei container di sistema GKE su AWS viene creata da immagini di base senza distribuzione che non hanno una shell o sudo installati. Le altre immagini vengono create da un'immagine base Debian che non contiene sudo. Anche se sudo fosse presente, l'accesso a sudo all'interno del contenitore non ti consente di accedere all'host a causa del confine del contenitore. Che cosa devo fare? Poiché i cluster GKE su AWS non sono interessati da questa vulnerabilità, non sono richieste ulteriori azioni. La patch per questa vulnerabilità verrà applicata a GKE su AWS in una release imminente con cadenza regolare.

Nessuno

Cluster GKE su

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità nell'utilità sudo per Linux, descritta in CVE-2021-3156, che potrebbe consentire a un utente malintenzionato con accesso alla shell locale senza privilegi su un sistema su cui è installato sudo di eseguire l'escalation dei propri privilegi a utente root sul sistema. I cluster Google Distributed Cloud Virtual for Bare Metal non sono interessati da questa vulnerabilità: Gli utenti autorizzati a eseguire SSH ai nodi Google Distributed Cloud Virtual for Bare Metal sono già considerati utenti con privilegi elevati e possono utilizzare sudo per ottenere i privilegi di root per progettazione. La vulnerabilità non genera percorsi di escalation dei privilegi aggiuntivi in questo scenario. La maggior parte dei container di sistema Google Distributed Cloud Virtual for Bare Metal viene creata da immagini di base distroless che non hanno un shell o sudo installato. Le altre immagini vengono create da un'immagine base Debian che non contiene sudo. Anche se sudo fosse presente, l'accesso a sudo all'interno del contenitore non ti consente di accedere all'host a causa del confine del contenitore. Che cosa devo fare? Poiché i cluster Google Distributed Cloud Virtual for Bare Metal non sono interessati da questa vulnerabilità, non sono necessarie ulteriori azioni. La patch per questa vulnerabilità verrà applicata a Google Distributed Cloud Virtual for Bare Metal in una release futura con cadenza regolare.

Nessuno

GCP-2020-015

Pubblicato il: 07/12/2020
Aggiornamento: 22/12/2021
Riferimento: CVE-2020-8554

Aggiornamento del 22/12/2021: viene utilizzato gcloud beta anziché il comando gcloud.

Aggiornamento del 15/12/2021: è stata aggiunta un'ulteriore mitigazione per GKE.

GKE

Descrizione

Gravità

Aggiornato il 22/12/2021 Il comando per GKE nella sezione seguente deve utilizzare gcloud beta anziché il comando gcloud. gcloud beta container clusters update –no-enable-service-externalips Aggiornamento del 15/12/2021 Per GKE, ora è disponibile la seguente misura di mitigazione: A partire dalla versione 1.21 di GKE, i servizi con indirizzi IP esterni sono bloccati da un DenyServiceExternalIPs controller di ammissione abilitato per impostazione predefinita per i nuovi cluster. I clienti che eseguono l'upgrade alla versione 1.21 di GKE possono bloccare i servizi con gli IP esterni utilizzando il seguente comando: gcloud container clusters update –no-enable-service-externalips Per ulteriori informazioni, consulta Rafforzamento della sicurezza del cluster. Il progetto Kubernetes ha recentemente scoperto una nuova vulnerabilità di sicurezza, CVE-2020-8554, che potrebbe consentire a un utente malintenzionato che ha ottenuto le autorizzazioni per creare un servizio Kubernetes di type LoadBalancer o ClusterIP di intercettare il traffico di rete proveniente da altri pod nel cluster. Questa vulnerabilità da sola non concede all'utente malintenzionato le autorizzazioni per creare un servizio Kubernetes. Tutti i cluster Google Kubernetes Engine (GKE) sono interessati da questa vulnerabilità. Che cosa devo fare? Per risolvere la vulnerabilità, Kubernetes potrebbe dover apportare modifiche di progettazione non compatibili con le versioni precedenti in una versione futura. Se molti utenti condividono l'accesso al tuo cluster con autorizzazioni per creare servizi, ad esempio in un cluster multi-tenant, valuta la possibilità di applicare una misura di mitigazione nel frattempo. Per il momento, il miglior approccio per la mitigazione è limitare l'utilizzo di indirizzi IP esterni in un cluster. Gli IP esterni non sono una funzionalità di uso comune. Limita l'utilizzo di indirizzi IP esterni in un cluster con uno dei seguenti metodi: Utilizza Policy Controller o Gatekeeper di GKE Enterprise con questo modello di vincolo e applicalo. Ad esempio: # Only allow the creation of Services with no # ExternalIP or an ExternalIP of 203.0.113.1: apiVersion: constraints.gatekeeper.sh/v1beta1 kind: K8sExternalIPs metadata: name: external-ips spec: match: kinds: - apiGroups: [""] kinds: ["Service"] parameters: allowedIPs: - "203.0.113.1" In alternativa, installa un controller di ammissione per impedire l'utilizzo di ExternalIP. Il progetto Kubernetes ha fornito un controller di ammissione di esempio per questa attività. Come indicato nell'annuncio di Kubernetes, non è prevista alcuna misura di mitigazione per i servizi di tipo LoadBalancer perché, per impostazione predefinita, solo gli utenti con privilegi elevati e i componenti di sistema ricevono l'autorizzazione container.services.updateStatus necessaria per sfruttare questa vulnerabilità.

Medio

Cluster GKE su

Descrizione

Gravità

Aggiornato il 22/12/2021 Il comando per GKE nella sezione seguente deve utilizzare gcloud beta anziché il comando gcloud. gcloud beta container clusters update –no-enable-service-externalips Aggiornamento del 15/12/2021 Per GKE, ora è disponibile la seguente misura di mitigazione: A partire dalla versione 1.21 di GKE, i servizi con indirizzi IP esterni sono bloccati da un DenyServiceExternalIPs controller di ammissione abilitato per impostazione predefinita per i nuovi cluster. I clienti che eseguono l'upgrade alla versione 1.21 di GKE possono bloccare i servizi con gli IP esterni utilizzando il seguente comando: gcloud container clusters update –no-enable-service-externalips Per ulteriori informazioni, consulta Rafforzamento della sicurezza del cluster. Il progetto Kubernetes ha recentemente scoperto una nuova vulnerabilità di sicurezza, CVE-2020-8554, che potrebbe consentire a un utente malintenzionato che ha ottenuto le autorizzazioni per creare un servizio Kubernetes di type LoadBalancer o ClusterIP di intercettare il traffico di rete proveniente da altri pod nel cluster. Questa vulnerabilità da sola non concede all'utente malintenzionato le autorizzazioni per creare un servizio Kubernetes. Tutti i GKE su VMware sono interessati da questa vulnerabilità. Che cosa devo fare? Per risolvere la vulnerabilità, Kubernetes potrebbe dover apportare modifiche di progettazione non compatibili con le versioni precedenti in una versione futura. Se molti utenti condividono l'accesso al tuo cluster con autorizzazioni per creare servizi, ad esempio in un cluster multi-tenant, valuta la possibilità di applicare una misura di mitigazione nel frattempo. Per il momento, il miglior approccio per la mitigazione è limitare l'utilizzo di indirizzi IP esterni in un cluster. Gli IP esterni non sono una funzionalità di uso comune. Limita l'utilizzo di indirizzi IP esterni in un cluster con uno dei seguenti metodi: Utilizza Policy Controller o Gatekeeper di GKE Enterprise con questo modello di vincolo e applicalo. Ad esempio: # Only allow the creation of Services with no # ExternalIP or an ExternalIP of 203.0.113.1: apiVersion: constraints.gatekeeper.sh/v1beta1 kind: K8sExternalIPs metadata: name: external-ips spec: match: kinds: - apiGroups: [""] kinds: ["Service"] parameters: allowedIPs: - "203.0.113.1" In alternativa, installa un controller di ammissione per impedire l'utilizzo di ExternalIP. Il progetto Kubernetes ha fornito un controller di ammissione di esempio per questa attività. Come indicato nell'annuncio di Kubernetes, non è prevista alcuna misura di mitigazione per i servizi di tipo LoadBalancer perché, per impostazione predefinita, solo gli utenti con privilegi elevati e i componenti di sistema ricevono l'autorizzazione container.services.updateStatus necessaria per sfruttare questa vulnerabilità.

Medio

Cluster GKE su

Descrizione

Gravità

Aggiornato il 22/12/2021 Il comando per GKE nella sezione seguente deve utilizzare gcloud beta anziché il comando gcloud. gcloud beta container clusters update –no-enable-service-externalips Aggiornamento del 15/12/2021 Per GKE, ora è disponibile la seguente misura di mitigazione: A partire dalla versione 1.21 di GKE, i servizi con indirizzi IP esterni sono bloccati da un DenyServiceExternalIPs controller di ammissione abilitato per impostazione predefinita per i nuovi cluster. I clienti che eseguono l'upgrade alla versione 1.21 di GKE possono bloccare i servizi con gli IP esterni utilizzando il seguente comando: gcloud container clusters update –no-enable-service-externalips Per ulteriori informazioni, consulta Rafforzamento della sicurezza del cluster. Il progetto Kubernetes ha recentemente scoperto una nuova vulnerabilità di sicurezza, CVE-2020-8554, che potrebbe consentire a un utente malintenzionato che ha ottenuto le autorizzazioni per creare un servizio Kubernetes di type LoadBalancer o ClusterIP di intercettare il traffico di rete proveniente da altri pod nel cluster. Questa vulnerabilità da sola non concede all'utente malintenzionato le autorizzazioni per creare un servizio Kubernetes. Tutti i GKE su AWS sono interessati da questa vulnerabilità. Che cosa devo fare? Per risolvere la vulnerabilità, Kubernetes potrebbe dover apportare modifiche di progettazione non compatibili con le versioni precedenti in una versione futura. Se molti utenti condividono l'accesso al tuo cluster con autorizzazioni per creare servizi, ad esempio in un cluster multi-tenant, valuta la possibilità di applicare una misura di mitigazione nel frattempo. Per il momento, il miglior approccio per la mitigazione è limitare l'utilizzo di indirizzi IP esterni in un cluster. Gli IP esterni non sono una funzionalità di uso comune. Limita l'utilizzo di indirizzi IP esterni in un cluster con uno dei seguenti metodi: Utilizza Policy Controller o Gatekeeper di GKE Enterprise con questo modello di vincolo e applicalo. Ad esempio: # Only allow the creation of Services with no # ExternalIP or an ExternalIP of 203.0.113.1: apiVersion: constraints.gatekeeper.sh/v1beta1 kind: K8sExternalIPs metadata: name: external-ips spec: match: kinds: - apiGroups: [""] kinds: ["Service"] parameters: allowedIPs: - "203.0.113.1" In alternativa, installa un controller di ammissione per impedire l'utilizzo di ExternalIP. Il progetto Kubernetes ha fornito un controller di ammissione di esempio per questa attività. Come indicato nell'annuncio di Kubernetes, non è prevista alcuna misura di mitigazione per i servizi di tipo LoadBalancer perché, per impostazione predefinita, solo gli utenti con privilegi elevati e i componenti di sistema ricevono l'autorizzazione container.services.updateStatus necessaria per sfruttare questa vulnerabilità.

Medio

GCP-2020-014

Pubblicato il: 20/10/2020
Riferimento: CVE-2020-8563, CVE-2020-8564, CVE-2020-8565, CVE-2020-8566

GKE

Aggiornato il: 20/10/2020

Descrizione

Gravità

Il progetto Kubernetes ha recentemente scoperto diversi problemi che consentono l'esposizione di dati riservati quando sono abilitate le opzioni di registrazione dettagliata. I problemi sono: CVE-2020-8563: fughe di secret nei log per il provider vSphere kube-controller-manager CVE-2020-8564: i secret di configurazione di Docker sono stati divulgati quando il file non è formattato correttamente e il livello di log è >= 4 CVE-2020-8565: la correzione incompleta di CVE-2019-11250 in Kubernetes consente la fuga di token nei log quando il livello log è >= 9. Scoperto da GKE Security. CVE-2020-8566: i segreti amministratore Ceph RBD sono esposti nei log quando il livello log è >= 4 GKE non è interessato. Che cosa devo fare? Non sono necessarie ulteriori azioni a causa dei livelli di logging della verbosità predefiniti di GKE.

Nessuno

Cluster GKE su

Aggiornato: 10/10/2020

Descrizione

Gravità

Il progetto Kubernetes ha recentemente scoperto diversi problemi che consentono l'esposizione di dati riservati quando sono abilitate le opzioni di registrazione dettagliata. I problemi sono: CVE-2020-8563: fughe di secret nei log per il provider vSphere kube-controller-manager CVE-2020-8564: i secret di configurazione di Docker sono stati divulgati quando il file non è formattato correttamente e il livello di log è >= 4 CVE-2020-8565: la correzione incompleta di CVE-2019-11250 in Kubernetes consente la fuga di token nei log quando il livello log è >= 9. Scoperto da GKE Security. CVE-2020-8566: i segreti amministratore Ceph RBD sono esposti nei log quando il livello log è >= 4 GKE on VMware non è interessato. Che cosa devo fare? Non sono necessarie ulteriori azioni a causa dei livelli di logging della verbosità predefiniti di GKE.

Nessuno

Cluster GKE su

Aggiornato il: 20/10/2020

Descrizione

Gravità

Il progetto Kubernetes ha recentemente scoperto diversi problemi che consentono l'esposizione di dati riservati quando sono abilitate le opzioni di registrazione dettagliata. I problemi sono: CVE-2020-8563: fughe di secret nei log per il provider vSphere kube-controller-manager CVE-2020-8564: i secret di configurazione di Docker sono stati divulgati quando il file non è formattato correttamente e il livello di log è >= 4 CVE-2020-8565: la correzione incompleta di CVE-2019-11250 in Kubernetes consente la fuga di token nei log quando il livello log è >= 9. Scoperto da GKE Security. CVE-2020-8566: i segreti amministratore Ceph RBD sono esposti nei log quando il livello log è >= 4 GKE su AWS non è interessato. Che cosa devo fare? Non sono necessarie ulteriori azioni a causa dei livelli di logging della verbosità predefiniti di GKE.

Nessuno

GCP-2020-012

Pubblicato il: 14/09/2020
Riferimento: CVE-2020-14386

GKE

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità nel kernel Linux, descritta in CVE-2020-14386, che potrebbe consentire di container escape per ottenere privilegi di utente root sul nodo host. Sono interessati tutti i nodi GKE. I pod in esecuzione in GKE Sandbox non sono in grado di sfruttare questa vulnerabilità. Che cosa devo fare? Per correggere questa vulnerabilità, esegui l'upgrade del piano di controllo e poi dei nodi a una delle versioni con patch elencate di seguito: 1.14.10-gke.50 Nota: la versione 1.14 è giunta al termine del suo ciclo di vita di supporto. Ti consigliamo di eseguire l'upgrade alla versione 1.15, se possibile. 1.15.12-gke.20 1.16.13-gke.401 1.17.9-gke.1504 1.18.6-gke.3504 Lo sfruttamento di questa vulnerabilità richiede CAP_NET_RAW, ma in genere pochissimi container richiedono CAP_NET_RAW. Questa e altre potenti funzionalità dovrebbero essere bloccate per impostazione predefinita tramite PodSecurityPolicy o Policy Controller: Rimuovi la funzionalità CAP_NET_RAW dai container con uno dei seguenti metodi: Imposta il blocco di queste funzionalità con PodSecurityPolicy, ad esempio: # Require dropping CAP_NET_RAW with a PSP apiversion: extensions/v1beta1 kind: PodSecurityPolicy metadata: name: no-cap-net-raw spec: requiredDropCapabilities: -NET_RAW ... # Unrelated fields omitted In alternativa, puoi utilizzare Policy Controller o Gatekeeper con questo modello di vincolo e applicarlo, ad esempio: # Dropping CAP_NET_RAW with Gatekeeper # (requires the K8sPSPCapabilities template) apiversion: constraints.gatekeeper.sh/v1beta1 kind: K8sPSPCapabilities metadata: name: forbid-cap-net-raw spec: match: kinds: - apiGroups: [""] kinds: ["Pod"] namespaces: #List of namespaces to enforce this constraint on - default # If running gatekeeper >= v3.1.0-beta.5, # you can exclude namespaces rather than including them above. excludedNamespaces: - kube-system parameters: requiredDropCapabilities: - "NET_RAW" In alternativa, aggiorna le specifiche del pod: # Dropping CAP_NET_RAW from a Pod: apiVersion: v1 kind: Pod metadata: name: no-cap-net-raw spec: containers: -name: my-container ... securityContext: capabilities: drop: -NET_RAW Nota: i pod GKE Sandbox disattivano già CAP_NET_RAW per impostazione predefinita e non richiedono le modifiche riportate sopra. Quale vulnerabilità viene affrontata da questa patch? La patch attenua la seguente vulnerabilità: La vulnerabilità CVE-2020-14386, che consente ai container con CAP_NET_RAW di scrivere da 1 a 10 byte di memoria del kernel, ed eventualmente di uscire dal container e ottenere privilegi di utente root sul nodo host. Questa è classificata come vulnerabilità di gravità Alta.

Alta

Cluster GKE su

Aggiornato: 17-09-2020

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità nel kernel Linux, descritta in CVE-2020-14386, che potrebbe consentire di container escape per ottenere privilegi di utente root sul nodo host. Tutti i nodi GKE on VMware sono interessati. Che cosa devo fare? Per correggere questa vulnerabilità, esegui l'upgrade del cluster a una versione con patch. Le seguenti versioni imminenti di {gke_on_prem_name} conterranno la correzione per questa vulnerabilità e questo bollettino verrà aggiornato quando saranno disponibili: GKE on VMware 1.4.3, ora disponibile. GKE on VMware 1.3.4, ora disponibile. Lo sfruttamento di questa vulnerabilità richiede CAP_NET_RAW, ma in genere pochissimi container richiedono CAP_NET_RAW. Questa e altre potenti funzionalità dovrebbero essere bloccate per impostazione predefinita tramite PodSecurityPolicy o Policy Controller: Rimuovi la funzionalità CAP_NET_RAW dai container con uno dei seguenti metodi: Imposta il blocco di queste funzionalità con PodSecurityPolicy, ad esempio: # Require dropping CAP_NET_RAW with a PSP apiversion: extensions/v1beta1 kind: PodSecurityPolicy metadata: name: no-cap-net-raw spec: requiredDropCapabilities: -NET_RAW ... # Unrelated fields omitted In alternativa, puoi utilizzare Policy Controller o Gatekeeper con questo modello di vincolo e applicarlo, ad esempio: # Dropping CAP_NET_RAW with Gatekeeper # (requires the K8sPSPCapabilities template) apiversion: constraints.gatekeeper.sh/v1beta1 kind: K8sPSPCapabilities metadata: name: forbid-cap-net-raw spec: match: kinds: - apiGroups: [""] kinds: ["Pod"] namespaces: #List of namespaces to enforce this constraint on - default # If running gatekeeper >= v3.1.0-beta.5, # you can exclude namespaces rather than including them above. excludedNamespaces: - kube-system parameters: requiredDropCapabilities: - "NET_RAW" In alternativa, aggiorna le specifiche del pod: # Dropping CAP_NET_RAW from a Pod: apiVersion: v1 kind: Pod metadata: name: no-cap-net-raw spec: containers: -name: my-container ... securityContext: capabilities: drop: -NET_RAW Nota: i pod GKE Sandbox disattivano già CAP_NET_RAW per impostazione predefinita e non richiedono le modifiche riportate sopra. Quale vulnerabilità viene affrontata da questa patch? La patch attenua la seguente vulnerabilità: La vulnerabilità CVE-2020-14386, che consente ai container con CAP_NET_RAW di scrivere da 1 a 10 byte di memoria del kernel, ed eventualmente di uscire dal container e ottenere privilegi di utente root sul nodo host. Questa è classificata come vulnerabilità di gravità Alta.

Alta

Cluster GKE su

Aggiornato: 13/10/2020

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità nel kernel Linux, descritta in CVE-2020-14386, che potrebbe consentire di container escape per ottenere privilegi di utente root sul nodo host. Tutti i nodi GKE su AWS sono interessati. Che cosa devo fare? Per correggere questa vulnerabilità, esegui l'upgrade del servizio di gestione e dei cluster utente a una versione con patch. Le seguenti versioni imminenti di GKE su AWS o successive includeranno la correzione per questa vulnerabilità e questo bollettino verrà aggiornato quando saranno disponibili: 1.5.0-gke.6 1.4.3-gke.7 Rimuovi la funzionalità CAP_NET_RAW dai container con uno dei seguenti metodi: Imposta il blocco di queste funzionalità con PodSecurityPolicy, ad esempio: # Require dropping CAP_NET_RAW with a PSP apiversion: extensions/v1beta1 kind: PodSecurityPolicy metadata: name: no-cap-net-raw spec: requiredDropCapabilities: -NET_RAW ... # Unrelated fields omitted In alternativa, puoi utilizzare Policy Controller o Gatekeeper con questo modello di vincolo e applicarlo, ad esempio: # Dropping CAP_NET_RAW with Gatekeeper # (requires the K8sPSPCapabilities template) apiversion: constraints.gatekeeper.sh/v1beta1 kind: K8sPSPCapabilities metadata: name: forbid-cap-net-raw spec: match: kinds: - apiGroups: [""] kinds: ["Pod"] namespaces: #List of namespaces to enforce this constraint on - default # If running gatekeeper >= v3.1.0-beta.5, # you can exclude namespaces rather than including them above. excludedNamespaces: - kube-system parameters: requiredDropCapabilities: - "NET_RAW" In alternativa, aggiorna le specifiche del pod: # Dropping CAP_NET_RAW from a Pod: apiVersion: v1 kind: Pod metadata: name: no-cap-net-raw spec: containers: -name: my-container ... securityContext: capabilities: drop: -NET_RAW Quale vulnerabilità viene affrontata da questa patch? La patch attenua la seguente vulnerabilità: La vulnerabilità CVE-2020-14386, che consente ai container con CAP_NET_RAW di scrivere da 1 a 10 byte di memoria del kernel, ed eventualmente di uscire dal container e ottenere privilegi di utente root sul nodo host. Questa è classificata come vulnerabilità di gravità Alta.

Alta

GCP-2020-011

Pubblicato il: 24/07/2020
Riferimento: CVE-2020-8558

GKE

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità di rete, CVE-2020-8558, in Kubernetes. A volte i servizi comunicano con altre applicazioni in esecuzione nello stesso pod utilizzando l'interfaccia loopback locale (127.0.0.1). Questa vulnerabilità consente a un utente malintenzionato con accesso alla rete del cluster di inviare traffico all'interfaccia loopback di pod e nodi adiacenti. I servizi che si basano sull'interfaccia loopback non accessibile al di fuori del pod potrebbero essere sfruttati. Per sfruttare questa vulnerabilità nei cluster GKE, un utente malintenzionato deve disporre dei privilegi di amministratore di rete su Google Cloud, che ospita la VPC del cluster. Questa vulnerabilità da sola non conferisce all'aggressore i privilegi di amministratore di rete. Per questo motivo, a questa vulnerabilità è stata assegnata una gravità bassa per GKE. Che cosa devo fare? Per correggere questa vulnerabilità, esegui l'upgrade dei pool di nodi del tuo cluster alle seguenti versioni GKE (e successive): 1.17.7-gke.0 1.16.11-gke.0 1.16.10-gke.11 1.16.9-gke.14 Quale vulnerabilità viene affrontata da questa patch? Questa patch corregge la seguente vulnerabilità: CVE-2020-8558.

Bassa

Cluster GKE su

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità di rete, CVE-2020-8558, in Kubernetes. A volte i servizi comunicano con altre applicazioni in esecuzione nello stesso pod utilizzando l'interfaccia loopback locale (127.0.0.1). Questa vulnerabilità consente a un utente malintenzionato con accesso alla rete del cluster di inviare traffico all'interfaccia loopback di pod e nodi adiacenti. I servizi che si basano sull'interfaccia loopback non accessibile al di fuori del pod potrebbero essere sfruttati. Che cosa devo fare? Per correggere questa vulnerabilità, esegui l'upgrade del cluster a una versione con patch. Le seguenti versioni imminenti di GKE on VMware o successive contengono la correzione di questa vulnerabilità: GKE su VMware 1.4.1 Quale vulnerabilità viene affrontata da questa patch? Questa patch corregge la seguente vulnerabilità: CVE-2020-8558.

Medio

Cluster GKE su

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità di rete, CVE-2020-8558, in Kubernetes. A volte i servizi comunicano con altre applicazioni in esecuzione nello stesso pod utilizzando l'interfaccia loopback locale (127.0.0.1). Questa vulnerabilità consente a un utente malintenzionato con accesso alla rete del cluster di inviare traffico all'interfaccia loopback di pod e nodi adiacenti. I servizi che si basano sull'interfaccia loopback non accessibile al di fuori del pod potrebbero essere sfruttati. Per sfruttare questa vulnerabilità nei cluster utente, un utente malintenzionato deve disattivare i controlli delle origini e delle destinazioni sulle istanze EC2 del cluster. Per questo, l'attaccante deve disporre delle autorizzazioni IAM di AWS per ModifyInstanceAttribute o ModifyNetworkInterfaceAttribute sulle istanze EC2. Per questo motivo, a questa vulnerabilità è stata assegnata una gravità bassa per GKE su AWS. Che cosa devo fare? Per correggere questa vulnerabilità, esegui l'upgrade del cluster a una versione con patch. Le seguenti versioni imminenti di GKE su AWS o successive dovrebbero includere la correzione di questa vulnerabilità: GKE su AWS 1.4.1-gke.17 Quale vulnerabilità viene affrontata da questa patch? Questa patch corregge la seguente vulnerabilità: CVE-2020-8558.

Bassa

GCP-2020-009

Pubblicato il: 15/07/2020
Riferimento: CVE-2020-8559

GKE

Descrizione

Gravità

Di recente è stata scoperta in Kubernetes una vulnerabilità di escalation dei privilegi, CVE-2020-8559. Questa vulnerabilità consente a un malintenzionato che ha già compromesso un nodo di eseguire un comando in qualsiasi pod del cluster. In questo modo, l'attaccante può utilizzare il nodo già compromesso per compromettere altri nodi e potenzialmente leggere informazioni o causare azioni distruttive. Tieni presente che, affinché un malintenzionato possa sfruttare questa vulnerabilità, un nodo del tuo cluster deve essere già stato compromesso. Questa vulnerabilità, da sola, non comprometterà nessun nodo del cluster. Che cosa devo fare? Esegui l'upgrade del cluster a una versione con patch. Verrà eseguito un upgrade automatico dei cluster nelle prossime settimane e le versioni con patch saranno disponibili entro il 19 luglio 2020 per una pianificazione dell'upgrade manuale accelerata. Le seguenti versioni o versioni successive del piano di controllo GKE contengono la correzione di questa vulnerabilità: v1.14.10-gke.46 v1.15.12-gke.8 v1.16.9-gke.11 v1.16.10-gke.9 v1.16.11-gke.3+ v1.17.7-gke.6+ Quale vulnerabilità viene affrontata da questa patch? Queste patch attenuano la vulnerabilità CVE-2020-8559. Questa è considerata una vulnerabilità media per GKE, in quanto richiede all'aggressore di disporre di informazioni di prima mano su cluster, nodi e workload per sfruttare efficacemente questo attacco, oltre a un nodo compromesso esistente. Questa vulnerabilità da sola non fornirà a un malintenzionato un nodo compromesso.

Medio

Cluster GKE su

Descrizione

Gravità

Di recente è stata scoperta in Kubernetes una vulnerabilità di escalation dei privilegi, CVE-2020-8559. Questa vulnerabilità consente a un malintenzionato che ha già compromesso un nodo di eseguire un comando in qualsiasi pod del cluster. In questo modo, l'attaccante può utilizzare il nodo già compromesso per compromettere altri nodi e potenzialmente leggere informazioni o causare azioni distruttive. Tieni presente che, affinché un malintenzionato possa sfruttare questa vulnerabilità, un nodo del tuo cluster deve essere già stato compromesso. Questa vulnerabilità, da sola, non comprometterà nessun nodo del cluster. Che cosa devo fare? Esegui l'upgrade del cluster a una versione con patch. Le seguenti versioni imminenti o successive di GKE on VMware contengono la correzione di questa vulnerabilità: Anthos 1.3.3 Anthos 1.4.1 Quale vulnerabilità viene affrontata da questa patch? Queste patch attenuano la vulnerabilità CVE-2020-8559. Questa è considerata una vulnerabilità media per GKE, in quanto richiede all'aggressore di disporre di informazioni di prima mano su cluster, nodi e workload per sfruttare efficacemente questo attacco, oltre a un nodo compromesso esistente. Questa vulnerabilità da sola non fornirà a un malintenzionato un nodo compromesso.

Medio

Cluster GKE su

Descrizione

Gravità

Di recente è stata scoperta in Kubernetes una vulnerabilità di escalation dei privilegi, CVE-2020-8559. Questa vulnerabilità consente a un malintenzionato che ha già compromesso un nodo di eseguire un comando in qualsiasi pod del cluster. In questo modo, l'attaccante può utilizzare il nodo già compromesso per compromettere altri nodi e potenzialmente leggere informazioni o causare azioni distruttive. Tieni presente che, affinché un malintenzionato possa sfruttare questa vulnerabilità, un nodo del tuo cluster deve essere già stato compromesso. Questa vulnerabilità, da sola, non comprometterà nessun nodo del cluster. Che cosa devo fare? GKE on AWS GA (1.4.1, disponibile a fine luglio 2020) o versioni successive include la patch per questa vulnerabilità. Se utilizzi una versione precedente, scarica una nuova versione dello strumento a riga di comando anthos-gke e ricrea i cluster di gestione e utente. Quale vulnerabilità viene affrontata da questa patch? Queste patch attenuano la vulnerabilità CVE-2020-8559. Questa è considerata una vulnerabilità media per GKE, in quanto richiede all'aggressore di disporre di informazioni di prima mano su cluster, nodi e workload per sfruttare efficacemente questo attacco, oltre a un nodo compromesso esistente. Questa vulnerabilità da sola non fornirà a un malintenzionato un nodo compromesso.

Medio

GCP-2020-007

Pubblicato il: 01/06/2020
Riferimento: CVE-2020-8555

GKE

Descrizione

Gravità

Di recente è stata scoperta in Kubernetes la vulnerabilità di falsificazione delle richieste lato server (SSRF), CVE-2020-8555, che consente a determinati utenti autorizzati di divulgare fino a 500 byte di informazioni sensibili dalla rete host del piano di controllo. Il piano di controllo Google Kubernetes Engine (GKE) utilizza i controller di Kubernetes ed è quindi interessato da questa vulnerabilità. Ti consigliamo di eseguire l'upgrade del piano di controllo alla versione più recente della patch, come descritto di seguito. Non è necessario eseguire l'upgrade dei nodi. Che cosa devo fare? Per la maggior parte dei clienti non sono necessari ulteriori interventi. La maggior parte dei cluster esegue già una versione con patch. Le seguenti versioni di GKE o successive contengono la correzione di questa vulnerabilità: 1.14.7-gke.39 1.14.8-gke.32 1.14.9-gke.17 1.14.10-gke.12 1.15.7-gke.17 1.16.4-gke.21 1.17.0-gke.0 I cluster che utilizzano canali di rilascio sono già in versioni del piano di controllo con la mitigazione. Quale vulnerabilità viene affrontata da questa patch? Queste patch attenuano la vulnerabilità CVE-2020-8555. Questa è classificata come vulnerabilità di gravità media per GKE perché è stata difficile da sfruttare a causa di varie misure di rafforzamento del piano di controllo. Un malintenzionato con le autorizzazioni per creare un pod con determinati tipi di volume integrati (GlusterFS, Quobyte, StorageFS, ScaleIO) o le autorizzazioni per creare una classe di archiviazione può indurre kube-controller-manager a effettuare richieste GET o POST senza un corpo della richiesta controllato dall'utente malintenzionato dalla rete host del master. Questi tipi di volumi vengono utilizzati raramente su GKE, pertanto un nuovo utilizzo potrebbe essere un indicatore di rilevamento utile. Se combinato con un mezzo per divulgare i risultati dell'GET/POST all'attaccante, ad esempio tramite i log, questo può portare alla divulgazione di informazioni sensibili. Abbiamo aggiornato i driver di archiviazione in discussione per eliminare la possibilità di tali fughe di dati.

Medio

Cluster GKE su

Descrizione

Gravità

Di recente è stata scoperta in Kubernetes la vulnerabilità di falsificazione delle richieste lato server (SSRF), CVE-2020-8555, che consente a determinati utenti autorizzati di divulgare fino a 500 byte di informazioni sensibili dalla rete host del piano di controllo. Il piano di controllo Google Kubernetes Engine (GKE) utilizza i controller di Kubernetes ed è quindi interessato da questa vulnerabilità. Ti consigliamo di eseguire l'upgrade del piano di controllo all'ultima versione della patch, come descritto di seguito. Non è necessario eseguire l'upgrade dei nodi. Che cosa devo fare? Le seguenti versioni di GKE on VMware o successive contengono la correzione di questa vulnerabilità: Anthos 1.3.0 Se utilizzi una versione precedente, esegui l'upgrade del cluster esistente a una versione contenente la correzione. Quale vulnerabilità viene affrontata da questa patch? Queste patch attenuano la vulnerabilità CVE-2020-8555. Questa è classificata come vulnerabilità di gravità media per GKE perché è stata difficile da sfruttare a causa di varie misure di rafforzamento del piano di controllo. Un malintenzionato con le autorizzazioni per creare un pod con determinati tipi di volume integrati (GlusterFS, Quobyte, StorageFS, ScaleIO) o le autorizzazioni per creare una classe di archiviazione può indurre kube-controller-manager a effettuare richieste GET o POST senza un corpo della richiesta controllato dall'utente malintenzionato dalla rete host del master. Questi tipi di volumi vengono utilizzati raramente su GKE, pertanto un nuovo utilizzo potrebbe essere un indicatore di rilevamento utile. Se combinato con un mezzo per divulgare i risultati dell'GET/POST all'attaccante, ad esempio tramite i log, questo può portare alla divulgazione di informazioni sensibili. Abbiamo aggiornato i driver di archiviazione in discussione per eliminare la possibilità di tali fughe di dati.

Medio

Cluster GKE su

Descrizione

Gravità

Di recente è stata scoperta in Kubernetes la vulnerabilità di falsificazione delle richieste lato server (SSRF), CVE-2020-8555, che consente a determinati utenti autorizzati di divulgare fino a 500 byte di informazioni sensibili dalla rete host del piano di controllo. Il piano di controllo Google Kubernetes Engine (GKE) utilizza i controller di Kubernetes ed è quindi interessato da questa vulnerabilità. Ti consigliamo di eseguire l'upgrade del piano di controllo all'ultima versione della patch, come descritto di seguito. Non è necessario eseguire l'upgrade dei nodi. Che cosa devo fare? GKE on AWS versione 0.2.0 o successive include già la patch per questa vulnerabilità. Se utilizzi una versione precedente, scarica una nuova versione dello strumento a riga di comando anthos-gke e ricrea i cluster di gestione e utente. Quale vulnerabilità viene affrontata da questa patch? Queste patch attenuano la vulnerabilità CVE-2020-8555. Questa è classificata come vulnerabilità di gravità media per GKE perché è stata difficile da sfruttare a causa di varie misure di rafforzamento del piano di controllo. Un malintenzionato con le autorizzazioni per creare un pod con determinati tipi di volume integrati (GlusterFS, Quobyte, StorageFS, ScaleIO) o le autorizzazioni per creare una classe di archiviazione può indurre kube-controller-manager a effettuare richieste GET o POST senza un corpo della richiesta controllato dall'utente malintenzionato dalla rete host del master. Questi tipi di volumi vengono utilizzati raramente su GKE, pertanto un nuovo utilizzo potrebbe essere un indicatore di rilevamento utile. Se combinato con un mezzo per divulgare i risultati dell'GET/POST all'attaccante, ad esempio tramite i log, questo può portare alla divulgazione di informazioni sensibili. Abbiamo aggiornato i driver di archiviazione in discussione per eliminare la possibilità di tali fughe di dati.

Medio

GCP-2020-006

Pubblicato il: 01/06/2020
Riferimento: Issue Kubernetes 91507

GKE

Descrizione

Gravità

Kubernetes ha divulgato una vulnerabilità che consente a un container con privilegi di reindirizzare il traffico del nodo a un altro container. Il traffico TLS/SSH reciproco, ad esempio tra il kubelet e il server API o il traffico proveniente da applicazioni che utilizzano mTLS, non può essere letto o modificato da questo attacco. Tutti i nodi di Google Kubernetes Engine (GKE) sono interessati da questa vulnerabilità e ti consigliamo di eseguire l'upgrade alla versione più recente della patch, come descritto di seguito. Che cosa devo fare? Per mitigare questa vulnerabilità, esegui l'upgrade del tuo piano di controllo e poi dei tuoi nodi a una delle versioni con patch elencate di seguito. I cluster nei canali di rilascio eseguono già una versione con patch sia sul piano di controllo sia sui nodi: 1.14.10-gke.36 1.15.11-gke.15 1.16.8-gke.15 In genere, pochissimi container richiedono CAP_NET_RAW. Questa e altre potenti funzionalità devono essere bloccate per impostazione predefinita tramite PodSecurityPolicy o Anthos Policy Controller: Rimuovi la funzionalità CAP_NET_RAW dai container con uno dei seguenti metodi: Imposta il blocco di queste funzionalità con PodSecurityPolicy, ad esempio: # Require dropping CAP_NET_RAW with a PSP apiversion: extensions/v1beta1 kind: PodSecurityPolicy metadata: name: no-cap-net-raw spec: requiredDropCapabilities: -NET_RAW ... # Unrelated fields omitted In alternativa, puoi utilizzare Policy Controller o Gatekeeper con questo modello di vincolo e applicarlo, ad esempio: # Dropping CAP_NET_RAW with Gatekeeper # (requires the K8sPSPCapabilities template) apiversion: constraints.gatekeeper.sh/v1beta1 kind: K8sPSPCapabilities metadata: name: forbid-cap-net-raw spec: match: kinds: - apiGroups: [""] kinds: ["Pod"] namespaces: #List of namespaces to enforce this constraint on - default # If running gatekeeper >= v3.1.0-beta.5, # you can exclude namespaces rather than including them above. excludedNamespaces: - kube-system parameters: requiredDropCapabilities: - "NET_RAW" In alternativa, aggiorna le specifiche del pod: # Dropping CAP_NET_RAW from a Pod: apiVersion: v1 kind: Pod metadata: name: no-cap-net-raw spec: containers: -name: my-container ... securityContext: capabilities: drop: -NET_RAW Quale vulnerabilità viene affrontata da questa patch? La patch attenua la seguente vulnerabilità: La vulnerabilità descritta nel problema 91507 di Kubernetes CAP_NET_RAW consente di configurare in modo dannoso lo stack IPv6 sul nodo e di reindirizzare il traffico del nodo al container controllato dall'attaccante. In questo modo, l'utente malintenzionato potrà intercettare/modificare il traffico proveniente o destinato al nodo. Il traffico TLS/SSH mutuale, ad esempio tra il kubelet e il server API o il traffico proveniente da applicazioni che utilizzano mTLS, non può essere letto o modificato da questo attacco.

Medio

Cluster GKE su

Descrizione

Gravità

Kubernetes ha divulgato una vulnerabilità che consente a un container con privilegi di reindirizzare il traffico del nodo a un altro container. Il traffico TLS/SSH reciproco, ad esempio tra il kubelet e il server API o il traffico proveniente da applicazioni che utilizzano mTLS, non può essere letto o modificato da questo attacco. Tutti i nodi di Google Kubernetes Engine (GKE) sono interessati da questa vulnerabilità e ti consigliamo di eseguire l'upgrade alla versione più recente della patch, come descritto di seguito. Che cosa devo fare? Per mitigare questa vulnerabilità per GKE su VMware, esegui l'upgrade dei cluster alla versione seguente o a una versione successiva: Anthos 1.3.2 In genere, pochissimi container richiedono CAP_NET_RAW. Questa e altre potenti funzionalità dovrebbero essere bloccate per impostazione predefinita tramite Anthos Policy Controller o aggiornando le specifiche del pod: Rimuovi la funzionalità CAP_NET_RAW dai container con uno dei seguenti metodi: Imposta il blocco di queste funzionalità con PodSecurityPolicy, ad esempio: # Require dropping CAP_NET_RAW with a PSP apiversion: extensions/v1beta1 kind: PodSecurityPolicy metadata: name: no-cap-net-raw spec: requiredDropCapabilities: -NET_RAW ... # Unrelated fields omitted In alternativa, puoi utilizzare Policy Controller o Gatekeeper con questo modello di vincolo e applicarlo, ad esempio: # Dropping CAP_NET_RAW with Gatekeeper # (requires the K8sPSPCapabilities template) apiversion: constraints.gatekeeper.sh/v1beta1 kind: K8sPSPCapabilities metadata: name: forbid-cap-net-raw spec: match: kinds: - apiGroups: [""] kinds: ["Pod"] namespaces: #List of namespaces to enforce this constraint on - default # If running gatekeeper >= v3.1.0-beta.5, # you can exclude namespaces rather than including them above. excludedNamespaces: - kube-system parameters: requiredDropCapabilities: - "NET_RAW" In alternativa, aggiorna le specifiche del pod: # Dropping CAP_NET_RAW from a Pod: apiVersion: v1 kind: Pod metadata: name: no-cap-net-raw spec: containers: -name: my-container ... securityContext: capabilities: drop: -NET_RAW Quale vulnerabilità viene affrontata da questa patch? La patch attenua la seguente vulnerabilità: La vulnerabilità descritta nel problema 91507 di Kubernetes CAP_NET_RAW consente di configurare in modo dannoso lo stack IPv6 sul nodo e di reindirizzare il traffico del nodo al container controllato dall'attaccante. In questo modo, l'utente malintenzionato potrà intercettare/modificare il traffico proveniente o destinato al nodo. Il traffico TLS/SSH mutuale, ad esempio tra il kubelet e il server API o il traffico proveniente da applicazioni che utilizzano mTLS, non può essere letto o modificato da questo attacco.

Medio

Cluster GKE su

Descrizione

Gravità

Kubernetes ha divulgato una vulnerabilità che consente a un container con privilegi di reindirizzare il traffico del nodo a un altro container. Il traffico TLS/SSH reciproco, ad esempio tra il kubelet e il server API o il traffico proveniente da applicazioni che utilizzano mTLS, non può essere letto o modificato da questo attacco. Tutti i nodi di Google Kubernetes Engine (GKE) sono interessati da questa vulnerabilità e ti consigliamo di eseguire l'upgrade alla versione più recente della patch, come descritto di seguito. Che cosa devo fare? Scarica lo strumento a riga di comando anthos-gke con la versione seguente o successiva e ricrea i cluster di gestione e utente: aws-0.2.1-gke.7 In genere, pochissimi container richiedono CAP_NET_RAW. Questa e altre potenti funzionalità dovrebbero essere bloccate per impostazione predefinita tramite Anthos Policy Controller o aggiornando le specifiche del pod: Rimuovi la funzionalità CAP_NET_RAW dai container con uno dei seguenti metodi: Imposta il blocco di queste funzionalità con PodSecurityPolicy, ad esempio: # Require dropping CAP_NET_RAW with a PSP apiversion: extensions/v1beta1 kind: PodSecurityPolicy metadata: name: no-cap-net-raw spec: requiredDropCapabilities: -NET_RAW ... # Unrelated fields omitted In alternativa, puoi utilizzare Policy Controller o Gatekeeper con questo modello di vincolo e applicarlo, ad esempio: # Dropping CAP_NET_RAW with Gatekeeper # (requires the K8sPSPCapabilities template) apiversion: constraints.gatekeeper.sh/v1beta1 kind: K8sPSPCapabilities metadata: name: forbid-cap-net-raw spec: match: kinds: - apiGroups: [""] kinds: ["Pod"] namespaces: #List of namespaces to enforce this constraint on - default # If running gatekeeper >= v3.1.0-beta.5, # you can exclude namespaces rather than including them above. excludedNamespaces: - kube-system parameters: requiredDropCapabilities: - "NET_RAW" In alternativa, aggiorna le specifiche del pod: # Dropping CAP_NET_RAW from a Pod: apiVersion: v1 kind: Pod metadata: name: no-cap-net-raw spec: containers: -name: my-container ... securityContext: capabilities: drop: -NET_RAW Quale vulnerabilità viene affrontata da questa patch? La patch attenua la seguente vulnerabilità: La vulnerabilità descritta nel problema 91507 di Kubernetes CAP_NET_RAW consente di configurare in modo dannoso lo stack IPv6 sul nodo e di reindirizzare il traffico del nodo al container controllato dall'attaccante. In questo modo, l'utente malintenzionato potrà intercettare/modificare il traffico proveniente o destinato al nodo. Il traffico TLS/SSH mutuale, ad esempio tra il kubelet e il server API o il traffico proveniente da applicazioni che utilizzano mTLS, non può essere letto o modificato da questo attacco.

Medio

GCP-2020-005

Pubblicato il: 07/05/2020
Aggiornamento: 07/05/2020
Riferimento: CVE-2020-8835

GKE

Descrizione

Gravità

Recentemente è stata scoperta una vulnerabilità nel kernel Linux, descritta in CVE-2020-8835, che consente di uscire dai limiti del container per ottenere privilegi di utente root sul nodo host. I nodi di Google Kubernetes Engine (GKE) Ubuntu che eseguono GKE 1.16 o 1.17 sono interessati da questa vulnerabilità e consigliamo di eseguire l'upgrade alla versione più recente della patch il prima possibile, come descritto di seguito. I nodi che eseguono Container-Optimized OS non sono interessati. I nodi che eseguono GKE su VMware non sono interessati. Che cosa devo fare? Per la maggior parte dei clienti non sono necessari ulteriori interventi. Solo i nodi che eseguono Ubuntu nelle versioni 1.16 o 1.17 di GKE sono interessati. Per eseguire l'upgrade dei nodi, devi prima eseguire l'upgrade del master alla versione più recente. Questa patch sarà disponibile in Kubernetes 1.16.8-gke.12, 1.17.4-gke.10 e release successive. Traccia la disponibilità di queste patch nelle note di rilascio. Quale vulnerabilità viene affrontata da questa patch? La patch attenua la seguente vulnerabilità: CVE-2020-8835 descrive una vulnerabilità nelle versioni kernel Linux 5.5.0 e successive che permette a un container dannoso di leggere e scrivere (con minima interazione dell'utente sotto forma di file eseguibile) la memoria del kernel, ottenendo così la possibilità di eseguire codice a livello di utente root sul nodo host. Questa è classificata come vulnerabilità di gravità "Alta".

Alta

GCP-2020-004

Pubblicato il: 07/05/2020
Aggiornamento: 07/05/2020
Riferimento: CVE-2019-11254

Cluster GKE su

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità in Kubernetes, descritta in CVE-2019-11254, che consente a qualsiasi utente autorizzato a inviare richieste POST di eseguire un attacco denial of service remoto contro un server API Kubernetes. Il Kubernetes Product Security Committee (PSC) ha pubblicato ulteriori informazioni su questa vulnerabilità, disponibili qui. Puoi mitigare questa vulnerabilità limitando i client che hanno accesso alla rete ai tuoi server API Kubernetes. Che cosa devo fare? Ti consigliamo di eseguire l'upgrade dei cluster alle versioni patch contenenti la correzione per questa vulnerabilità non appena saranno disponibili. Di seguito sono elencate le versioni di patch che contengono la correzione: Anthos 1.3.0, che esegue Kubernetes versione 1.15.7-gke.32 Quali vulnerabilità vengono affrontate da questa patch? La patch corregge la seguente vulnerabilità denial of service (DoS): CVE-2019-11254

Medio

GCP-2020-003

Pubblicato il: 31/03/2020
Aggiornamento: 31/03/2020
Riferimento: CVE-2019-11254

GKE

Descrizione

Gravità

Di recente è stata scoperta una vulnerabilità in Kubernetes, descritta in CVE-2019-11254, che consente a qualsiasi utente autorizzato a inviare richieste POST di eseguire un attacco denial of service remoto contro un server API Kubernetes. Il Kubernetes Product Security Committee (PSC) ha pubblicato ulteriori informazioni su questa vulnerabilità, disponibili qui. I cluster GKE che utilizzano reti autorizzate master e cluster privati senza endpoint pubblico mitigano questa vulnerabilità. Che cosa devo fare? Ti consigliamo di eseguire l'upgrade del cluster a una versione della patch che contenga la correzione per questa vulnerabilità. Di seguito sono elencate le versioni di patch che contengono la correzione: 1.13.12-gke.29 1.14.9-gke.27 1.14.10-gke.24 1.15.9-gke.20 1.16.6-gke.1 Quali vulnerabilità vengono affrontate da questa patch? La patch corregge la seguente vulnerabilità denial of service (DoS): CVE-2019-11254

Medio

GCP-2020-002

Pubblicato il: 23/03/2020
Aggiornamento: 23/03/2020
Riferimento: CVE-2020-8551, CVE-2020-8552

GKE

Descrizione

Gravità

Kubernetes ha divulgato due vulnerabilità denial of service, una con conseguenze sul server API, l'altra sui Kubelet. Per ulteriori dettagli, consulta i problemi di Kubernetes: 89377 e 89378. Che cosa devo fare? Tutti gli utenti di GKE sono protetti da CVE-2020-8551 a meno che gli utenti non attendibili non possano inviare richieste nella rete interna del cluster. L'utilizzo di reti autorizzate master riduce ulteriormente i rischi di CVE-2020-8552. Quando verranno applicate le patch? Le patch per CVE-2020-8551 richiedono un upgrade del nodo. Di seguito sono elencate le versioni di patch che conterranno la mitigazione: 1.15.10-gke.* 1.16.7-gke.* Nota: le versioni 1.14.x e precedenti non sono interessate da questa vulnerabilità, di conseguenza non sono richieste patch. Le patch per CVE-2020-8552 richiedono un upgrade del master. Di seguito sono elencate le versioni di patch che conterranno la mitigazione: 1.14.10-gke.32 1.15.10-gke.* 1.16.7-gke.*

Medio

GCP-january_21_2020

Pubblicato il: 21/01/2020
Aggiornamento: 24/01/2020
Riferimento: CVE-2019-11254

GKE

Descrizione

Gravità

Aggiornamento 24-01-2020: la messa a disposizione di versioni con patch è già in corso e sarà completata entro il 25 gennaio 2020. Microsoft ha divulgato una vulnerabilità nell'API Windows Crypto e la sua convalida delle firme a curva ellittica. Per ulteriori informazioni, consulta la divulgazione di Microsoft. Che cosa devo fare? Per la maggior parte dei clienti non sono necessari ulteriori interventi. Sono interessati solo i nodi in esecuzione su Windows Server. Per i clienti che utilizzano i nodi Windows Server, sia questi ultimi che i carichi di lavoro containerizzati eseguiti su tali nodi devono essere aggiornati a versioni con patch per mitigare questa vulnerabilità. Per aggiornare i container: Ricostruisci i tuoi container utilizzando le immagini container di base di Microsoft più recenti, selezionando un tag servercore o nanoserver con un LastUpdated Time pari a 1/14/2020 o successivo. Per aggiornare i nodi: La messa a disposizione di versioni con patch è già in corso e sarà completata entro il 24 gennaio 2020. Puoi attendere fino a quel momento ed eseguire un upgrade del nodo a una versione GKE con patch, oppure puoi usare Windows Update per eseguire manualmente il deployment della patch Windows più recente in qualsiasi momento. Di seguito sono elencate le versioni di patch che conterranno la mitigazione: 1.14.7-gke.40 1.14.8-gke.33 1.14.9-gke.23 1.14.10-gke.17 1.15.7-gke.23 1.16.4-gke.22 Quali vulnerabilità vengono affrontate da questa patch? La patch attenua le seguenti vulnerabilità: CVE-2020-0601 - Questa vulnerabilità è anche nota come vulnerabilità spoofing dell'API Windows Crypto e può essere sfruttata per fare apparire come attendibili eseguibili dannosi o permettere a un utente malintenzionato di condurre attacchi man in the middle e decriptare informazioni riservate su connessioni TLS al software interessato.

Punteggio base NVD: 8,1 (Alta)

Bollettini sulla sicurezza archiviati

Per i bollettini sulla sicurezza precedenti al 2020, consulta l'archivio dei bollettini sulla sicurezza.