CVE-2025-31133、CVE-2025-52565和CVE-2025-52881修复方案

步骤一：修改节点池的运行时配置

修改边缘节点池配置后，新建节点都将使用更高版本的containerd运行时，避免相关漏洞。

1. 打开修改节点池配置的API。

2. 填写如下参数，其他参数保持默认：

   1. ClusterId：集群ID。

   2. NodepoolId：需要修改配置的边缘节点池ID。

   3. runtime_version：容器运行时版本，设置为1.6.39。

3. 发起API调用。

步骤二：手动升级现有节点的containerd版本

节点排水

在需要升级的目标边缘节点上执行节点排水，把该节点上的Pod迁移到其他可用节点：

1. 将下方命令中的<NODE_NAME>替换为节点名称后，执行命令，将目标节点设置为不可调度状态：

   kubectl cordon <NODE_NAME>

2. 进行节点排水：

   kubectl drain <NODE_NAME> --grace-period=120 --ignore-daemonsets=true

在目标节点执行修复

1. 登录目标边缘节点，在节点上执行下列修复操作。

   1. 配置REGION和INTERCONNECT_MODE环境变量：

      export REGION="cn-hangzhou"  INTERCONNECT_MODE="basic";  # 将 “cn-hangzhou” 和 “basic” 替换为真实配置。

      参数	说明
      REGION	集群所在地域的Region ID。ACK Edge集群支持的地域及其Region ID，请参见开服地域。
      INTERCONNECT_MODE	节点的接入网络类型 basic：公网接入。 private：私网接入。

   2. 执行下方脚本修复漏洞。

      #!/bin/bash
      set -e -x
      			# parameter 
      if [[ $REGION == "" ]];then
          echo "Error: REGION is null"
          exit 1
      fi
      
      if [[ $INTERCONNECT_MODE == "" ]]; then
         echo "Error: INTERCONNECT_MODE is null"
         exit 1
      fi
      
      if containerd --version | grep -q "1.6.39"; then
         echo "No need to upgrade current containerd(1.6.39)"
         exit 0
      fi
      
      export OS_ARCH=amd64
      case $(uname -m) in
      "sw_64")
          export OS_ARCH=sw64
          ;;
      "x86_64")
          export OS_ARCH=amd64
          ;;
      "arm64")
          export OS_ARCH=arm64
          ;;
      "aarch64")
          export OS_ARCH=arm64
          ;;
      *)
          echo "unknown arch $(uname -a), default to amd64 "
          ;;
      esac
      
      INTERNAL=$( [ "$INTERCONNECT_MODE" = "private" ] && echo "-internal" || echo "" )
      SERVER="http://aliacs-k8s-${REGION}.oss-${REGION}${INTERNAL}.aliyuncs.com"
      
      grep -q "Ubuntu" /etc/os-release && export PKG_MGR="-deb"
      grep -q "Debian" /etc/os-release && export PKG_MGR="-deb"
      
      CONTAINERD_VERSION="1.6.39"
      CONTAINERD_PACKAGE_URL="$SERVER/public/pkg/containerd${PKG_MGR}/containerd${PKG_MGR}-${CONTAINERD_VERSION}-linux-${OS_ARCH}.tar.gz"
      wget $CONTAINERD_PACKAGE_URL -O /tmp/containerd.tar.gz
      mkdir -p /tmp/containerd
      tar xf /tmp/containerd.tar.gz -C /tmp/containerd
      
      
      if [[ $PKG_MGR == "-deb" ]]; then
          apt install -y /tmp/containerd/pkg/containerd-deb/$CONTAINERD_VERSION/deb/*.deb
      else
          yum localinstall -y /tmp/containerd/pkg/containerd/$CONTAINERD_VERSION/rpm/* 
      fi
      
      service containerd restart
      
      echo "succeeded to upgrade containerd"

   3. 如果输出如下内容，表明当前节点环境不存在CVE漏洞，机器上未执行任何变更，无需进行后续操作：

      No need to upgrade current containerd(1.6.39)

      输出如下内容，表示该节点环境存在漏洞且已被修复：

      succeeded to upgrade containerd

节点上线

将下方命令中的<NODE_NAME>替换为节点名称后，执行命令，将节点设置为可调度状态：

kubectl uncordon <NODE_NAME>