K8S 生态周报| 2019-06-03~2019-06-09

谁借莪１个温暖的怀抱￠ 2022-04-27 16:42 64阅读 0赞

> 「K8S 生态周报」内容主要包含我所接触到的 K8S 生态相关的每周值得推荐的一些信息。欢迎订阅知乎专栏[「k8s生态」][k8s]。

## Kubernetes CVE-2019-11245 漏洞 ##

这是一个评分为 4.9 的漏洞，算是一个中等漏洞。 **受此漏洞影响的版本为 v1.13.6 和 v1.14.2** ，所以本周也加紧发布了 v1.13.7 和 v1.14.3 版本，以避免受此漏洞影响。 如果有使用 v1.13.6 和 v1.14.2 版本的小伙伴，请尽快进行 **升级** 以免受到影响。

上面说了最直接的解决办法，接下来对此漏洞大致做下介绍：

这个漏洞影响了 v1.13.6 和 v1.14.2 版本的 `kubelet`，具体表现为， 1) 如果 Pod 中的容器，开始时是以某个非 root 用户启动的，但是当它重启后，则会以 root (uid 0) 的身份启动。2) 或者是 Node 节点上已经存在了启动容器所需的镜像。

第 2 个情况比较常见，不再具体介绍。我们来看下第 1 种情况。举个栗子：

通常情况下，如果我们使用 Docker 官方的 Redis 镜像进行部署的时候，默认情况下将会以 `redis` 用户启动；而如果受此漏洞影响，当容器重启后，则当前的用户可能会变成 root (uid 0) 。使用 root 用户启动服务可能带来的危害，这里也不再多进行展开了。

也存在例外，比如已经显式的通过 `runAsUser` 指定了运行用户，则不会受到此漏洞影响。

所以除了开头说的升级到 v1.13.7 或者 v1.14.3 版本外，也可以通过显式的指定 `runAsUser` 以缓解此漏洞的影响。

更多信息可访问 [v1.13.7 ReleaseNote][] [v1.14.3 ReleaseNote][] 和 [CVE-2019-11245 issues][]

## Docker CVE-2018-15664 已经解决 ##

在上周的 [K8S 周报][K8S] 中，我提到了 **Docker CVE-2018-15664 安全漏洞** , 当时国内很多自媒体发布了各种看起来很可怕的标题（这里就不举例了），实际上那个漏洞的影响正如我说的那样并没有特别大。

现在该漏洞已经修复，并将移植到 Docker 18.09 和 19.03 版本中，本周发布的 Docker 19.03-rc2 就已经包含了此项修复。

感兴趣的朋友可阅读关于 [CVE-2018-15664 的相关讨论][CVE-2018-15664]

## Docker 19.03-rc2 发布 ##

这仍然是一个正式版本发布前的常规测试版本，正如上面提到的，这个版本中包含了对 CVE-2018-15664 的修复。同时在此版本中，还包含了构建系统中，可能导致错误的一些 bug 。

对此版本有兴趣的朋友可阅读 [19.03-rc2 ReleaseNote][]; 对 Docker 构建系统有兴趣的朋友可以阅读我写的 [Docker 构建三部曲][Docker]

## Istio 1.2.0-rc.0 发布 ##

这个版本的变动其实还算比较大，但这里暂时先不介绍了，还在持续迭代中，具体的介绍我等正式版发布后再介绍好了。

这里只说一个可能很多用户都会在意的改动，Istio 中自签的 CA 根证书默认有效期是 1 年，但是在 1.2 中，有效期已经修改成了默认 10 年。大概这个改动能免除一些用户的担忧。

对此版本感兴趣的朋友可以在 [Istio 1.2.0-rc.0 的 Release 页面][Istio 1.2.0-rc.0 _ Release] 进行尝鲜体验

--------------------

可以通过下面二维码订阅我的文章公众号【MoeLove】

[k8s]: https://link.juejin.im?target=https%3A%2F%2Fzhuanlan.zhihu.com%2Fcontainer
[v1.13.7 ReleaseNote]: https://link.juejin.im?target=https%3A%2F%2Fgithub.com%2Fkubernetes%2Fkubernetes%2Fblob%2Fmaster%2FCHANGELOG-1.13.md%23v1137
[v1.14.3 ReleaseNote]: https://link.juejin.im?target=https%3A%2F%2Fgithub.com%2Fkubernetes%2Fkubernetes%2Fblob%2Fmaster%2FCHANGELOG-1.14.md%23changelog-since-v1142
[CVE-2019-11245 issues]: https://link.juejin.im?target=https%3A%2F%2Fgithub.com%2Fkubernetes%2Fkubernetes%2Fissues%2F78308
[K8S]: https://link.juejin.im?target=https%3A%2F%2Fzhuanlan.zhihu.com%2Fp%2F67674642
[CVE-2018-15664]: https://link.juejin.im?target=https%3A%2F%2Fgithub.com%2Fmoby%2Fmoby%2Fpull%2F39292
[19.03-rc2 ReleaseNote]: https://link.juejin.im?target=https%3A%2F%2Fgithub.com%2Fdocker%2Fdocker-ce%2Freleases%2Ftag%2Fv19.03.0-rc2
[Docker]: https://link.juejin.im?target=https%3A%2F%2Fmoelove.info%2F2019%2F06%2F01%2FDocker-%25E9%2595%259C%25E5%2583%258F%25E6%259E%2584%25E5%25BB%25BA%25E4%25B8%2589%25E9%2583%25A8%25E6%259B%25B2%2F
[Istio 1.2.0-rc.0 _ Release]: https://link.juejin.im?target=https%3A%2F%2Fgithub.com%2Fistio%2Fistio%2Freleases%2Ftag%2F1.2.0-rc.0