Kubernetes ออกแพตช์แก้ช่องโหว่ DoS

Kubernetes ออกแพตช์แก้สองช่องโหว่ร้ายแรงที่มีผลกระทบต่อทุกเวอร์ชัน ช่องโหว่ดังกล่าวยอมให้ผู้โจมตีทำให้ระบบหยุดทำงาน (DoS)

Kubernetes เป็น open-source สำหรับการจัดการ Container ที่เริ่มต้นพัฒนามาจาก Google ด้วยภาษา Go มันถูกออกแบบมาเพื่อให้การ deploy การปรับขนาด และการจัดการ Container เป็นไปอย่างอัตโนมัติ

ปัญหาด้านความปลอดภัยได้ถูกพบในไลบรารี่ net/http ของภาษา Go ที่กระทบต่อทุกเวอร์ชันและทุก component ของ Kubernetes ช่องโหว่นี้สามารถทำให้เกิด DoS ในกระบวนที่เกี่ยวของกับ HTTP หรือ HTTPS listener ซึ่งช่องโหว่นี้เกี่ยวข้องกับช่องโหว่ที่ Netflix พบช่องโหว่ที่เกี่ยวข้องกับ HTTP/2 เมื่อวันที่ 13 สิงหาคมที่ผ่านมา

จากทั้งหมด 8 ช่องโหว่ที่ Netflix พบ มีเพียงสองช่องโหว่ที่กระทบ Kubernetes คือ CVE-2019-9512 และ CVE-2019-9514

CVE-2019-9512 หรือที่เรียกว่า Ping Flood
แฮกเกอร์สามารถทำการ Ping อย่างต่อเนื่องจนระบบล่ม

CVE-2019-9514 หรือที่เรียกว่า Reset Flood
แฮกเกอร์ขอ streams จำนวนมากและส่งคำขอไม่ถูกต้องทำให้เกิด RST_STREAM จำนวนมาก ส่งผลทำให้ CPU ถูกใช้งานมากเกินไปทำให้ระบบล่มได้

Kubernetes ได้ปล่อยแพตช์ใหม่ที่แก้ไขช่องโหว่นี้และแนะนำให้อัพเดทให้เร็วที่สุดเท่าที่จะทำได้

ด้านล่างนี้เป็น Kubernetes รุ่นใหม่ที่สร้างมาจากภาษา Go รุ่นที่แก้ปัญหาแล้ว

* Kubernetes รุ่น1.15.3 สร้างมาจากภาษา Go 1.12.9
* Kubernetes v1.14.6 สร้างมาจากภาษา go1.12.9
* Kubernetes v1.13.10 สร้างมาจากภาษา go1.11.13

ผู้ดูแลระบบ Kubernetes สามารถอัปเกรดได้ทุกแพลตฟอร์มบนเพจ Kubernetes Cluster Management

ที่มา: bleepingcomputer