在多租集群中，攻击者可以通过下面两种方式完成对指定Service的流量劫持。 创建ClusterIP类型的Service，并设置服务实例spec中的 externalIP 字段来指定劫持该IP内的流量。 对于LoadBalancer类型的Service，攻击者可以通过设置Service实例中的 spec.loadBalancerIP 字段并且修改 status.loadBalancer.ingress.ip 达到流量劫持的目的。
漏洞概览
- CVE 编号
- CVE-2020-8554
- 文章标题
- CVE-2020-8554 Kubernetes LoadBalancer 流量劫持漏洞
- 影响产品或组件
- 未命名漏洞案例
- 漏洞类型
- 以原文描述为准，未单独列出 CWE
- 原文字符数
- 3380
- 资料核验日期
- 2026-09-18
安全风险等级评估
原文未提供独立的风险等级评估。处置优先级应结合漏洞可利用性、资产暴露面和业务影响判断。
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| 未命名漏洞案例 | 当前所有版本的Kubernetes集群均在该漏洞影响范围内，该漏洞源自Kubernetes设计上的安全缺陷，明确的修复计划将在 issue 97110 中给出 | 按原文或厂商公告核对修复边界 |
原文范围说明：当前所有版本的Kubernetes集群均在该漏洞影响范围内，该漏洞源自Kubernetes设计上的安全缺陷，明确的修复计划将在 issue 97110 中给出。 对于ACK集群用户，如果您的集群运行在多租户场景下，或者集群中运行的应用可能来自非受信的用户所部署，此时您可以通过在apiserver审计日志中搜寻Service的 status 对象的patch事件来发现可疑事件。具体操作，请参见 查看详细日志记录 。
漏洞详情
漏洞机制
在多租集群中，攻击者可以通过下面两种方式完成对指定Service的流量劫持。 创建ClusterIP类型的Service，并设置服务实例spec中的 externalIP 字段来指定劫持该IP内的流量。 对于LoadBalancer类型的Service，攻击者可以通过设置Service实例中的 spec.loadBalancerIP 字段并且修改 status.loadBalancer.ingress.ip 达到流量劫持的目的。
触发条件与权限边界
当前所有版本的Kubernetes集群均在该漏洞影响范围内，该漏洞源自Kubernetes设计上的安全缺陷，明确的修复计划将在 issue 97110 中给出。 对于ACK集群用户，如果您的集群运行在多租户场景下，或者集群中运行的应用可能来自非受信的用户所部署，此时您可以通过在apiserver审计日志中搜寻Service的 status 对象的patch事件来发现可疑事件。具体操作，请参见 查看详细日志记录 。
场景与影响
在多租集群中，攻击者可以通过下面两种方式完成对指定Service的流量劫持。 创建ClusterIP类型的Service，并设置服务实例spec中的 externalIP 字段来指定劫持该IP内的流量。 对于LoadBalancer类型的Service，攻击者可以通过设置Service实例中的 spec.loadBalancerIP 字段并且修改 status.loadBalancer.ingress.ip 达到流量劫持的目的。 当前所有版本的Kubernetes集群均在该漏洞影响范围内，该漏洞源自Kubernetes设计上的安全缺陷，明确的修复计划将在 issue 97110 中给出。 对于ACK集群用户，如果您的集群运行在多租户场景下，或者集群中运行的应用可能来自非受信的用户所部署，此时您可以通过在apiserver审计日志中搜寻Service的 status 对象的patch事件来发现可疑事件。具体操作，请参见 查看详细日志记录 。
检测与排查
资产、配置与日志核查
围绕 CVE-2020-8554 盘点实际资产、软件包或插件版本、启用组件、访问入口和相关日志；修复后回读运行版本与补丁状态，复核业务功能、访问控制和异常进程。不要在生产环境通过投递恶意样本或反复认证失败来验证漏洞。
防范措施与修复验证
修复与缓解
目前Kubernetes社区官方还没有提供针对该漏洞的修复方案，由于漏洞修复可能涉及原生模型较大的改动，预计在官方正式修复版本发布前还需一段较长的时间。建议您优先采用以下方案防范攻击： 对于external IPs的使用建议如下： 通过admission webhook的准入校验方式限制external IPs的使用，详情请参见Kubernetes官方给出的 externalip-webhook 源码和部署说明。 通过OPA Gatekeeper来限制external IPs的使用范围，具体操作，请参见 组件介绍 。ConstraintTemplate和Constraint的示例模板请参考 externalip 。 对于LoadBalancer类型的IP使用建议如下： 尽可能收敛对Service的 status 对象的patch权限。 可采用上述external IPs的使用建议，通过admission webhook或OPA Gatekeeper的方式来限制对LoadBalancer IP的使用。
修复后的验证
完成变更后回读 未命名漏洞案例 的实际版本、补丁和配置，确认已落在厂商修复范围；需要重启的服务应验证重启结果，再检查相关业务功能、访问控制与日志。临时缓解应单独标注并跟踪正式修复。
参考来源
英文技术描述已按原文语义整理为中文，产品名、协议名、版本号、命令、路径和官方链接予以保留。涉及多 CVE 的文章维持为一篇，不拆分原文章。
暂无评论内容