阿里云容器服务Kubernetes 已修复Dashboard漏洞CVE-2018-18264,本文介绍该漏洞的影响版本及解决方法。阿里云容器服务Kubernetes内建的Kubernetes Dashboard是托管形态且已进行过安全增强,不受此漏洞影响。

背景信息

Kubernetes社区发现Kubernetes Dashboard安全漏洞CVE-2018-18264:使用Kubernetes Dashboard v1.10及以前的版本有跳过用户身份认证,及使用Dashboard登录账号读取集群密钥信息的风险 。

阿里云容器服务Kubernetes内建的Kubernetes Dashboard是托管形态且已进行过安全增强,不受此漏洞影响。

影响版本

如果您的Kubernetes集群中独立部署了Kubernetes Dashboard v1.10及之前版本(v1.7.0-v1.10.0),同时支持登录功能且使用了自定义证书。

解决方法

  • 如果您不需要独立部署的Dashboard,请执行以下命令,将Kubernetes Dashboard从集群中删除。
    kubectl --namespace kube-system delete deployment kubernetes-dashboard
  • 如果您需要独立部署的Dashboard,请将Dashboard升级到v1.10.1版本,请参考https://github.com/kubernetes/dashboard/releases/tag/v1.10.1

  • 如果您使用阿里云容器服务Kubernetes版本托管的Dashboard,由于阿里云容器服务Kubernetes版本对此进行过安全增强,不受此漏洞影响,您仍可以直接在容器服务管理控制台上使用Dashboard。