乱世浮生
·
Kubernetes externalIPs：已知六年的安全漏洞，终于要移除了
内容提要
Kubernetes 的 externalIPs 字段存在安全漏洞（CVE-2020-8554），允许用户劫持集群流量。该功能在 v1.36 开始废弃，预计在 v1.43 完全移除。漏洞源于缺乏验证和授权机制，普通用户可随意声明外部 IP。建议使用 LoadBalancer 和 Gateway API 作为替代方案以提高安全性。
关键要点
-
Kubernetes 的 externalIPs 字段存在安全漏洞（CVE-2020-8554），允许用户劫持集群流量。
-
该功能在 v1.36 开始废弃，预计在 v1.43 完全移除。
-
漏洞源于缺乏验证和授权机制，普通用户可随意声明外部 IP。
-
externalIPs 字段的设计存在三个根本性缺陷：没有归属验证、没有授权模型、没有冲突检测。
-
攻击者可以通过声明外部 IP、抢占 ClusterIP 或声明节点 IP 来劫持流量。
-
Kubernetes 的 RBAC 模型无法有效防止该漏洞，因为创建 Service 的权限影响到整个集群的网络层。
-
Kubernetes 的废弃流程分为四个阶段，第一阶段已在 v1.36 开始，第二阶段预计在 v1.40 默认禁用。
-
建议使用 LoadBalancer 和 Gateway API 作为替代方案以提高安全性，特别是在云环境和裸金属环境中。
-
Kubernetes 社区对功能的废弃持保守态度，确保替代方案成熟后才进行移除。
延伸解读
安全漏洞的根源
Kubernetes 的 externalIPs 字段存在的安全漏洞源于设计缺陷，包括缺乏归属验证、授权模型和冲突检测。这使得普通用户能够轻易声明外部 IP，从而劫持集群流量，造成潜在的安全隐患。了解这些根源有助于用户在使用 Kubernetes 时更加谨慎，避免类似的安全风险。
替代方案的重要性
随着 externalIPs 功能的逐步废弃，Kubernetes 社区推荐使用 LoadBalancer 和 Gateway API 作为替代方案。这些替代方案不仅提供了更好的安全性，还能有效管理流量和路由。用户应尽快迁移到这些新方案，以确保集群的安全性和稳定性，特别是在云环境和裸金属环境中。
废弃流程的阶段性
Kubernetes 的废弃流程分为多个阶段，从 v1.36 开始发出警告，到 v1.43 完全移除。这一过程确保了用户有足够的时间进行迁移和调整。用户应关注每个阶段的变化，及时更新配置，以避免在未来版本中遇到功能失效的问题。
延伸问答
Kubernetes 的 externalIPs 漏洞是什么？
Kubernetes 的 externalIPs 漏洞（CVE-2020-8554）允许用户劫持集群流量，任何有 Service 创建权限的用户都可以声明外部 IP，从而影响整个集群的网络层。
Kubernetes 为什么决定移除 externalIPs 功能？
Kubernetes 决定移除 externalIPs 功能是因为其设计存在根本性缺陷，缺乏验证和授权机制，导致安全风险较高，且有更安全的替代方案可用。
Kubernetes externalIPs 的废弃流程是怎样的？
externalIPs 的废弃流程分为四个阶段：v1.36 发出警告，v1.40 默认禁用，v1.43 完全移除，v1.46 之后清理相关代码。
如何防止 Kubernetes 中的 externalIPs 漏洞？
可以通过启用 DenyServiceExternalIPs admission controller、提前关闭 feature gate 或使用 Kyverno 策略来防止 externalIPs 漏洞。
Kubernetes externalIPs 的替代方案有哪些？
建议使用 LoadBalancer 和 Gateway API 作为 externalIPs 的替代方案，以提高安全性，特别是在云环境和裸金属环境中。
externalIPs 漏洞的攻击方式有哪些？
攻击方式包括声明外部服务流量、抢占 ClusterIP 和声明节点 IP，攻击者可以通过这些方式劫持流量。
