Kubernetes社区披露了编号为CVE-2021-3121的安全漏洞，存在该漏洞的程序可能会因为处理了包含恶意Protobuf消息而崩溃。如果您使用的Gogo Protobuf编译器版本过低，可能存在该漏洞。本文介绍该漏洞的影响和影响范围，以及防范措施。
漏洞概览
- CVE 编号
- CVE-2021-3121
- 文章标题
- CVE-2021-3121 GoGo Protobuf 消息处理拒绝服务漏洞
- 影响产品或组件
- 未命名漏洞案例
- 漏洞类型
- 以原文描述为准，未单独列出 CWE
- 原文字符数
- 3065
- 资料核验日期
- 2026-09-18
安全风险等级评估
原文未提供独立的风险等级评估。处置优先级应结合漏洞可利用性、资产暴露面和业务影响判断。
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| 未命名漏洞案例 | Kubernetes社区经过测试验证API Server不受该漏洞的影响，但为了避免您受到该安全漏洞隐患的影响，社区对相关Protobuf文件进行了升级，具体修复版本如下： | 按原文或厂商公告核对修复边界 |
| 未命名漏洞案例 | 21版本： 1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 0 、 1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 20版本： 1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 6 、 1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 19版本： 1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 10 、 1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 18版本： 1 | 按厂商公告与产品矩阵核对 |
原文范围说明：Kubernetes社区经过测试验证API Server不受该漏洞的影响，但为了避免您受到该安全漏洞隐患的影响，社区对相关Protobuf文件进行了升级，具体修复版本如下： 1.21版本： 1.21.0 、 1.21.1 。 1.20版本： 1.20.6 、 1.20.7 。 1.19版本： 1.19.10 、 1.19.11 。 1.18版本： 1.18.18 、 1.18.19 。
漏洞详情
漏洞机制
Kubernetes社区披露了编号为CVE-2021-3121的安全漏洞，存在该漏洞的程序可能会因为处理了包含恶意Protobuf消息而崩溃。如果您使用的Gogo Protobuf编译器版本过低，可能存在该漏洞。本文介绍该漏洞的影响和影响范围，以及防范措施。
触发条件与权限边界
Kubernetes社区经过测试验证API Server不受该漏洞的影响，但为了避免您受到该安全漏洞隐患的影响，社区对相关Protobuf文件进行了升级，具体修复版本如下： 1.21版本： 1.21.0 、 1.21.1 。 1.20版本： 1.20.6 、 1.20.7 。 1.19版本： 1.19.10 、 1.19.11 。 1.18版本： 1.18.18 、 1.18.19 。
场景与影响
Kubernetes社区披露了编号为CVE-2021-3121的安全漏洞，存在该漏洞的程序可能会因为处理了包含恶意Protobuf消息而崩溃。如果您使用的Gogo Protobuf编译器版本过低，可能存在该漏洞。本文介绍该漏洞的影响和影响范围，以及防范措施。 Kubernetes社区经过测试验证API Server不受该漏洞的影响，但为了避免您受到该安全漏洞隐患的影响，社区对相关Protobuf文件进行了升级，具体修复版本如下： 1.21版本： 1.21.0 、 1.21.1 。 1.20版本： 1.20.6 、 1.20.7 。 1.19版本： 1.19.10 、 1.19.11 。 1.18版本： 1.18.18 、 1.18.19 。
检测与排查
资产、配置与日志核查
围绕 CVE-2021-3121 盘点实际资产、软件包或插件版本、启用组件、访问入口和相关日志；修复后回读运行版本与补丁状态，复核业务功能、访问控制和异常进程。不要在生产环境通过投递恶意样本或反复认证失败来验证漏洞。
防范措施与修复验证
修复与缓解
如果在您的应用系统代码中使用了自动生成的Protobuf消息，并且发现相关组件因为以下异常退出，则可能存在该漏洞。 panic : runtime error : index out of range [ -9223372036854775804 ] goroutine 1 [running]: v1.(*MessageName).Unmarshal( 0xc000057ef8 , 0xc0000161a0 , 0xa , 0x10 , 0xc000057ec8 , 0x1 ) …/protofile.pb. go : 250 + 0xb86 如果您使用了Protobuf消息的相关组件，推荐将Gogo Protobuf编译器升级到漏洞修复版本（v1.3.2或更高的版本），再基于升级后的Protobuf编译器重新生成相关的Protobuf消息。
修复后的验证
完成变更后回读 未命名漏洞案例 的实际版本、补丁和配置，确认已落在厂商修复范围；需要重启的服务应验证重启结果，再检查相关业务功能、访问控制与日志。临时缓解应单独标注并跟踪正式修复。
参考来源
英文技术描述已按原文语义整理为中文，产品名、协议名、版本号、命令、路径和官方链接予以保留。涉及多 CVE 的文章维持为一篇，不拆分原文章。
暂无评论内容