请登录 容器服务管理控制台 升级您的集群至1.14.8版本，升级的注意事项及具体的操作步骤，请参见 升级集群 。 如果由于其他原因暂时不能升级集群，您可以通过以下操作降低此漏洞带来的风险，等待合适的时机后再升级集群。 您可以遵循权限最小化原则，合理配置子账号对目标集群的访问权限，取消不必要的创建和修改集群资源的权限，请参见 Kubernetes集群访问控制授权概述 。 您可以通过吊销KubeConfig功能，请主账号对疑似泄露的Config及时进行吊销操作 ，请参见 吊销集群的 KubeConfig 凭证 。
漏洞概览
- CVE 编号
- CVE-2019-11253
- 文章标题
- CVE-2019-11253 Kubernetes API Server 拒绝服务漏洞
- 影响产品或组件
- Kubernetes漏洞
- 漏洞类型
- 以原文描述为准，未单独列出 CWE
- 原文字符数
- 2695
- 资料核验日期
- 2026-09-18
安全风险等级评估
原文未提供独立的风险等级评估。处置优先级应结合漏洞可利用性、资产暴露面和业务影响判断。
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| Kubernetes漏洞 | Kubernetes v1 | 按厂商公告与产品矩阵核对 |
| Kubernetes漏洞 | 11 （fixed in 1 | 按原文或厂商公告核对修复边界 |
| Kubernetes漏洞 | 12 ） | 按厂商公告与产品矩阵核对 |
| Kubernetes漏洞 | 7 （fixed in 1 | 按原文或厂商公告核对修复边界 |
| Kubernetes漏洞 | 8 ） | 按厂商公告与产品矩阵核对 |
| Kubernetes漏洞 | 4 （fixed in 1 | 按原文或厂商公告核对修复边界 |
| Kubernetes漏洞 | 1 （fixed in 1 | 按原文或厂商公告核对修复边界 |
原文范围说明：Kubernetes v1.0.x~1.12.x Kubernetes v1.13.0~1.13.11 （fixed in 1.13.12 ） Kubernetes v1.14.0~1.14.7 （fixed in 1.14.8 ） Kubernetes v1.15.0~1.15.4 （fixed in 1.15.5 ） Kubernetes v1.16.0~1.16.1 （fixed in 1.16.2 ）
漏洞详情
漏洞机制
请登录 容器服务管理控制台 升级您的集群至1.14.8版本，升级的注意事项及具体的操作步骤，请参见 升级集群 。 如果由于其他原因暂时不能升级集群，您可以通过以下操作降低此漏洞带来的风险，等待合适的时机后再升级集群。 您可以遵循权限最小化原则，合理配置子账号对目标集群的访问权限，取消不必要的创建和修改集群资源的权限，请参见 Kubernetes集群访问控制授权概述 。 您可以通过吊销KubeConfig功能，请主账号对疑似泄露的Config及时进行吊销操作 ，请参见 吊销集群的 KubeConfig 凭证 。
触发条件与权限边界
Kubernetes v1.0.x~1.12.x Kubernetes v1.13.0~1.13.11 （fixed in 1.13.12 ） Kubernetes v1.14.0~1.14.7 （fixed in 1.14.8 ） Kubernetes v1.15.0~1.15.4 （fixed in 1.15.5 ） Kubernetes v1.16.0~1.16.1 （fixed in 1.16.2 ）
场景与影响
请登录 容器服务管理控制台 升级您的集群至1.14.8版本，升级的注意事项及具体的操作步骤，请参见 升级集群 。 如果由于其他原因暂时不能升级集群，您可以通过以下操作降低此漏洞带来的风险，等待合适的时机后再升级集群。 您可以遵循权限最小化原则，合理配置子账号对目标集群的访问权限，取消不必要的创建和修改集群资源的权限，请参见 Kubernetes集群访问控制授权概述 。 您可以通过吊销KubeConfig功能，请主账号对疑似泄露的Config及时进行吊销操作 ，请参见 吊销集群的 KubeConfig 凭证 。 Kubernetes v1.0.x~1.12.x Kubernetes v1.13.0~1.13.11 （fixed in 1.13.12 ） Kubernetes v1.14.0~1.14.7 （fixed in 1.14.8 ） Kubernetes v1.15.0~1.15.4 （fixed in 1.15.5 ） Kubernetes v1.16.0~1.16.1 （fixed in 1.16.2 ）
检测与排查
资产、配置与日志核查
围绕 CVE-2019-11253 盘点实际资产、软件包或插件版本、启用组件、访问入口和相关日志；修复后回读运行版本与补丁状态，复核业务功能、访问控制和异常进程。不要在生产环境通过投递恶意样本或反复认证失败来验证漏洞。
防范措施与修复验证
修复与缓解
Kubernetes社区发现安全漏洞： CVE-2019-11253 。Kubernetes用户可通过伪造指定格式YAML文件，发送POST请求对集群进行DoS攻击。目前阿里云容器服务Kubernetes版本已第一时间修复此漏洞，请登录容器服务管理控制台升级您的Kubernetes版本。 漏洞 CVE-2019-11253 详细信息，请参见 CVE-2019-11253 。
修复后的验证
完成变更后回读 Kubernetes漏洞 的实际版本、补丁和配置，确认已落在厂商修复范围；需要重启的服务应验证重启结果，再检查相关业务功能、访问控制与日志。临时缓解应单独标注并跟踪正式修复。
参考来源
英文技术描述已按原文语义整理为中文，产品名、协议名、版本号、命令、路径和官方链接予以保留。涉及多 CVE 的文章维持为一篇，不拆分原文章。
暂无评论内容