Kubernetes社区公布了安全漏洞CVE-2021-25740，该漏洞可使攻击者利用混淆代理的方式访问到他们原本无法访问的集群服务。本文介绍该漏洞的影响和影响范围，以及检测方法和防范措施。
漏洞概览
- CVE 编号
- CVE-2021-25740
- 文章标题
- CVE-2021-25740 Kubernetes Endpoints 访问控制绕过漏洞
- 影响产品或组件
- 未命名漏洞案例
- 漏洞类型
- 以原文描述为准，未单独列出 CWE
- 原文字符数
- 14760
- 资料核验日期
- 2026-09-18
安全风险等级评估
原文未提供独立的风险等级评估。处置优先级应结合漏洞可利用性、资产暴露面和业务影响判断。
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| 未命名漏洞案例 | 当前所有Kubernetes集群版本均受该漏洞影响 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 关于该漏洞的详细信息，请参见 #103675 | 按厂商公告与产品矩阵核对 |
原文范围说明：当前所有Kubernetes集群版本均受该漏洞影响。关于该漏洞的详细信息，请参见 #103675 。
漏洞详情
漏洞机制
Kubernetes社区公布了安全漏洞CVE-2021-25740，该漏洞可使攻击者利用混淆代理的方式访问到他们原本无法访问的集群服务。本文介绍该漏洞的影响和影响范围，以及检测方法和防范措施。
触发条件与权限边界
当前所有Kubernetes集群版本均受该漏洞影响。关于该漏洞的详细信息，请参见 #103675 。
场景与影响
Kubernetes社区公布了安全漏洞CVE-2021-25740，该漏洞可使攻击者利用混淆代理的方式访问到他们原本无法访问的集群服务。本文介绍该漏洞的影响和影响范围，以及检测方法和防范措施。 当前所有Kubernetes集群版本均受该漏洞影响。关于该漏洞的详细信息，请参见 #103675 。
检测与排查
资产、配置与日志核查
围绕 CVE-2021-25740 盘点实际资产、软件包或插件版本、启用组件、访问入口和相关日志；修复后回读运行版本与补丁状态，复核业务功能、访问控制和异常进程。不要在生产环境通过投递恶意样本或反复认证失败来验证漏洞。
防范措施与修复验证
修复与缓解
该漏洞暂时没有修复版本，只能通过限制易受攻击的功能来进行缓解。为了降低风险，建议您执行以下命令更新 system:aggregate-to-edit 角色来限制对Endpoints和EndpointSlices的写访问权限，从 admin 和 edit 角色中删除对Endpoints的写访问权限。 # Allow kubectl auth reconcile to work kubectl annotate –overwrite clusterrole/system:aggregate-to-edit rbac.authorization.kubernetes.io/autoupdate= true # Test reconcile, then run for real if happy kubectl auth reconcile –remove-extra-permissions -f aggregate_to_edit_no_endpoints.yaml.txt –dry-run kubectl auth reconcile –remove-extra-permissions -f aggregate_to_edit_no_endpoints.yaml.txt # Prevent autoreconciliation back to old state kubectl annotate –overwrite clusterrole/system:aggregate-to-edit rbac.authorization.kubernetes.io/autoupdate= false 上述命令中涉及的 aggregate_to_edit_no_endpoints.yaml.txt 样例如下： apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: annotations: rbac.authorization.kubernetes.io/autoupdate: "true" creationTimestamp: null labels: kubernetes.io/bootstrapping: rbac-defaults rbac.authorization.k8s.io/aggregate-to-edit: "true" name: system:aggregate-to-edit rules: – apiGroups: – "" resources: – pods/attach – pods/exec – pods/portforward – pods/proxy – secrets – services/proxy verbs: – get – list – watch – apiGroups: – "" resources: – serviceaccounts verbs: – impersonate – apiGroups: – "" resources: – pods – pods/attach – pods/exec – pods/portforward – pods/proxy verbs: – create – delete – deletecollection – patch – update – apiGroups: – "" resources: – configmaps – persistentvolumeclaims – replicationcontrollers – replicationcontrollers/scale – secrets – serviceaccounts – services – services/proxy verbs: – create – delete – deletecollection – patch – update – apiGroups: – apps resources: – daemonsets – deployments – deployments/rollback – deployments/scale – replicasets – replicasets/scale – statefulsets – statefulsets/scale verbs: – create – delete – deletecollection – patch – update – apiGroups: – autoscaling resources: – horizontalpodautoscalers verbs: – create – delete – deletecollection – patch – update – apiGroups: – batch resources: – cronjobs – jobs verbs: – create –
修复后的验证
完成变更后回读 未命名漏洞案例 的实际版本、补丁和配置，确认已落在厂商修复范围；需要重启的服务应验证重启结果，再检查相关业务功能、访问控制与日志。临时缓解应单独标注并跟踪正式修复。
参考来源
英文技术描述已按原文语义整理为中文，产品名、协议名、版本号、命令、路径和官方链接予以保留。涉及多 CVE 的文章维持为一篇，不拆分原文章。
暂无评论内容