Kubernetes官方公布了一个kubectl cp相关漏洞CVE-2019-11249 ，此漏洞可能允许恶意攻击者利用目录遍历（Directory Traversal）的方式将容器TAR包中的恶意文件写入或替换至所在主机上目标路径之外的其他位置，该过程仅受本地用户的系统权限限制。
漏洞概览
- CVE 编号
- CVE-2019-11249
- 文章标题
- CVE-2019-11249 kubectl cp 路径遍历漏洞
- 影响产品或组件
- Kubectl cp漏洞
- 漏洞类型
- 以原文描述为准，未单独列出 CWE
- 原文字符数
- 2479
- 资料核验日期
- 2026-09-18
安全风险等级评估
原文未提供独立的风险等级评估。处置优先级应结合漏洞可利用性、资产暴露面和业务影响判断。
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| Kubectl cp漏洞 | 您可以通过运行 kubectl version –client 命令，查看kubectl版本 | 按厂商公告与产品矩阵核对 |
| Kubectl cp漏洞 | 在以下范围内的版本均受此次漏洞影响： | 按厂商公告与产品矩阵核对 |
| Kubectl cp漏洞 | kubectl 1 | 按厂商公告与产品矩阵核对 |
| Kubectl cp漏洞 | 8（fixed in v1 | 按原文或厂商公告核对修复边界 |
| Kubectl cp漏洞 | 4（fixed in v1 | 按原文或厂商公告核对修复边界 |
| Kubectl cp漏洞 | 1（fixed in v1 | 按原文或厂商公告核对修复边界 |
原文范围说明：您可以通过运行 kubectl version –client 命令，查看kubectl版本。 在以下范围内的版本均受此次漏洞影响： kubectl 1.0.x-1.12.x kubectl 1.13.0-1.13.8（fixed in v1.13.9） kubectl 1.14.0-1.14.4（fixed in v1.14.5） kubectl 1.15.0-1.15.1（fixed in v1.15.2）
漏洞详情
漏洞机制
Kubernetes官方公布了一个kubectl cp相关漏洞CVE-2019-11249 ，此漏洞可能允许恶意攻击者利用目录遍历（Directory Traversal）的方式将容器TAR包中的恶意文件写入或替换至所在主机上目标路径之外的其他位置，该过程仅受本地用户的系统权限限制。
触发条件与权限边界
您可以通过运行 kubectl version –client 命令，查看kubectl版本。 在以下范围内的版本均受此次漏洞影响： kubectl 1.0.x-1.12.x kubectl 1.13.0-1.13.8（fixed in v1.13.9） kubectl 1.14.0-1.14.4（fixed in v1.14.5） kubectl 1.15.0-1.15.1（fixed in v1.15.2）
场景与影响
Kubernetes官方公布了一个kubectl cp相关漏洞CVE-2019-11249 ，此漏洞可能允许恶意攻击者利用目录遍历（Directory Traversal）的方式将容器TAR包中的恶意文件写入或替换至所在主机上目标路径之外的其他位置，该过程仅受本地用户的系统权限限制。 您可以通过运行 kubectl version –client 命令，查看kubectl版本。 在以下范围内的版本均受此次漏洞影响： kubectl 1.0.x-1.12.x kubectl 1.13.0-1.13.8（fixed in v1.13.9） kubectl 1.14.0-1.14.4（fixed in v1.14.5） kubectl 1.15.0-1.15.1（fixed in v1.15.2）
检测与排查
资产、配置与日志核查
围绕 CVE-2019-11249 盘点实际资产、软件包或插件版本、启用组件、访问入口和相关日志；修复后回读运行版本与补丁状态，复核业务功能、访问控制和异常进程。不要在生产环境通过投递恶意样本或反复认证失败来验证漏洞。
防范措施与修复验证
修复与缓解
通过升级kubectl的版本来修复该漏洞。请参见 安装Kubectl ，升级kubectl客户端。安装成功后请再次确认客户端版本号。 如果您的kubectl版本为1.13.x，请升级到1.13.9。 如果您的kubectl版本为1.14.x，请升级到1.14.5。 如果您的kubectl版本为1.15.x，请升级到1.15.2。 如果您的kubectl版本为1.12.x及以下版本，请升级到1.13.9、1.14.5或1.15.2版本。
修复后的验证
完成变更后回读 Kubectl cp漏洞 的实际版本、补丁和配置，确认已落在厂商修复范围；需要重启的服务应验证重启结果，再检查相关业务功能、访问控制与日志。临时缓解应单独标注并跟踪正式修复。
参考来源
英文技术描述已按原文语义整理为中文，产品名、协议名、版本号、命令、路径和官方链接予以保留。涉及多 CVE 的文章维持为一篇，不拆分原文章。
暂无评论内容