CVE-2021-25735 Kubernetes Validating Admission Webhook 绕过漏洞-讯岚社区

漏洞概览

CVE 编号: CVE-2021-25735
文章标题: CVE-2021-25735 Kubernetes Validating Admission Webhook 绕过漏洞
影响产品或组件: 未命名漏洞案例
漏洞类型: 以原文描述为准，未单独列出 CWE
原文字符数: 2370
资料核验日期: 2026-09-18

安全风险等级评估

原文未提供独立的风险等级评估。处置优先级应结合漏洞可利用性、资产暴露面和业务影响判断。

影响范围与修复版本

产品或分支	受影响范围	历史修复边界或说明
未命名漏洞案例	以下枚举的kube-apiserver版本均包含该漏洞：	按厂商公告与产品矩阵核对
未命名漏洞案例	kube-apiserver v1	按厂商公告与产品矩阵核对
未命名漏洞案例	0～v1	按厂商公告与产品矩阵核对
未命名漏洞案例	kube-apiserver<=v1	按厂商公告与产品矩阵核对
未命名漏洞案例	该漏洞的修复版本为：	按原文或厂商公告核对修复边界

原文范围说明：该漏洞仅影响使用了Validating Admission Webhook，并且该Webhook会依赖节点更新前原状态的某些字段进行准入校验的集群。以下枚举的kube-apiserver版本均包含该漏洞： kube-apiserver v1.20.0～v1.20.5 kube-apiserver v1.19.0～v1.19.9 kube-apiserver<=v1.18.17 该漏洞的修复版本为： kube-apiserver v1.21.0 kube-apiserver v1.20.6 kube-apiserver v1.19.10 kube-apiserver v1.18.18

漏洞详情

漏洞机制

如果集群存在上述所描述的影响范围内的Validating Admission Webhook，在集群升级到修复版本前无法保证现有准入机制的安全性，请通过RBAC授权管理等其他途径限制对Node节点的更新权限。

触发条件与权限边界

该漏洞仅影响使用了Validating Admission Webhook，并且该Webhook会依赖节点更新前原状态的某些字段进行准入校验的集群。以下枚举的kube-apiserver版本均包含该漏洞： kube-apiserver v1.20.0～v1.20.5 kube-apiserver v1.19.0～v1.19.9 kube-apiserver<=v1.18.17 该漏洞的修复版本为： kube-apiserver v1.21.0 kube-apiserver v1.20.6 kube-apiserver v1.19.10 kube-apiserver v1.18.18

场景与影响

如果集群存在上述所描述的影响范围内的Validating Admission Webhook，在集群升级到修复版本前无法保证现有准入机制的安全性，请通过RBAC授权管理等其他途径限制对Node节点的更新权限。该漏洞仅影响使用了Validating Admission Webhook，并且该Webhook会依赖节点更新前原状态的某些字段进行准入校验的集群。以下枚举的kube-apiserver版本均包含该漏洞： kube-apiserver v1.20.0～v1.20.5 kube-apiserver v1.19.0～v1.19.9 kube-apiserver<=v1.18.17 该漏洞的修复版本为： kube-apiserver v1.21.0 kube-apiserver v1.20.6 kube-apiserver v1.19.10 kube-apiserver v1.18.18

检测与排查

资产、配置与日志核查

围绕 CVE-2021-25735 盘点实际资产、软件包或插件版本、启用组件、访问入口和相关日志；修复后回读运行版本与补丁状态，复核业务功能、访问控制和异常进程。不要在生产环境通过投递恶意样本或反复认证失败来验证漏洞。

防范措施与修复验证

修复与缓解

如果集群存在上述所描述的影响范围内的Validating Admission Webhook，在集群升级到修复版本前无法保证现有准入机制的安全性，请通过RBAC授权管理等其他途径限制对Node节点的更新权限。

修复后的验证

完成变更后回读未命名漏洞案例的实际版本、补丁和配置，确认已落在厂商修复范围；需要重启的服务应验证重启结果，再检查相关业务功能、访问控制与日志。临时缓解应单独标注并跟踪正式修复。

参考来源

CVE 官方记录官方漏洞记录与状态 NVD 漏洞条目评分、分析与参考链接 原文公告或技术资料www.first.org 原文参考链接www.first.org

英文技术描述已按原文语义整理为中文，产品名、协议名、版本号、命令、路径和官方链接予以保留。涉及多 CVE 的文章维持为一篇，不拆分原文章。