阿里云容器服务Kubernetes版已修复kube-controller-manager组件中存在的SSRF漏洞 CVE-2020-8555 。通过认证鉴权的攻击者可能通过服务端请求伪造获取控制节点（Master Node）网络下未经认证鉴权保护接口返回的任意信息。本文介绍该漏洞的影响、解决办法及防范措施。
漏洞概览
- CVE 编号
- CVE-2020-8555
- 文章标题
- CVE-2020-8555 kube-controller-manager SSRF 漏洞
- 影响产品或组件
- kube controller manager SSRF漏洞
- 漏洞类型
- 以原文描述为准，未单独列出 CWE
- 原文字符数
- 2699
- 资料核验日期
- 2026-09-18
安全风险等级评估
原文未提供独立的风险等级评估。处置优先级应结合漏洞可利用性、资产暴露面和业务影响判断。
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| kube controller manager SSRF漏洞 | 下列版本均在此CVE影响范围： kube-controller-manager v1 | 按厂商公告与产品矩阵核对 |
| kube controller manager SSRF漏洞 | 0~v1 | 按厂商公告与产品矩阵核对 |
| kube controller manager SSRF漏洞 | kube-controller-manager<v1 | 按厂商公告与产品矩阵核对 |
| kube controller manager SSRF漏洞 | 受影响的存储类型有：GlusterFS、Quobyte、 StorageFS、ScaleIO | 按厂商公告与产品矩阵核对 |
原文范围说明：攻击前提： kube-apiserver暴露了非认证本地端口。 存在其他不受保护的服务被暴露于控制台节点（Master Node）网络下。 恶意用户在目标集群有创建Pod权限并有StorageClass的写权限。 下列版本均在此CVE影响范围： kube-controller-manager v1.16.0~v1.16.8 kube-controller-manager<v1.15.11 受影响的存储类型有：GlusterFS、Quobyte、 StorageFS、ScaleIO。
漏洞详情
漏洞机制
阿里云容器服务Kubernetes版已修复kube-controller-manager组件中存在的SSRF漏洞 CVE-2020-8555 。通过认证鉴权的攻击者可能通过服务端请求伪造获取控制节点（Master Node）网络下未经认证鉴权保护接口返回的任意信息。本文介绍该漏洞的影响、解决办法及防范措施。
触发条件与权限边界
攻击前提： kube-apiserver暴露了非认证本地端口。 存在其他不受保护的服务被暴露于控制台节点（Master Node）网络下。 恶意用户在目标集群有创建Pod权限并有StorageClass的写权限。 下列版本均在此CVE影响范围： kube-controller-manager v1.16.0~v1.16.8 kube-controller-manager<v1.15.11 受影响的存储类型有：GlusterFS、Quobyte、 StorageFS、ScaleIO。
场景与影响
阿里云容器服务Kubernetes版已修复kube-controller-manager组件中存在的SSRF漏洞 CVE-2020-8555 。通过认证鉴权的攻击者可能通过服务端请求伪造获取控制节点（Master Node）网络下未经认证鉴权保护接口返回的任意信息。本文介绍该漏洞的影响、解决办法及防范措施。 攻击前提： kube-apiserver暴露了非认证本地端口。 存在其他不受保护的服务被暴露于控制台节点（Master Node）网络下。 恶意用户在目标集群有创建Pod权限并有StorageClass的写权限。 下列版本均在此CVE影响范围： kube-controller-manager v1.16.0~v1.16.8 kube-controller-manager<v1.15.11 受影响的存储类型有：GlusterFS、Quobyte、 StorageFS、ScaleIO。
检测与排查
资产、配置与日志核查
围绕 CVE-2020-8555 盘点实际资产、软件包或插件版本、启用组件、访问入口和相关日志；修复后回读运行版本与补丁状态，复核业务功能、访问控制和异常进程。不要在生产环境通过投递恶意样本或反复认证失败来验证漏洞。
防范措施与修复验证
修复与缓解
说明 当前ACK已提供了包含漏洞修复的1.16.9-aliyun.1版本，请您尽快升级至最新的1.16.9-aliyun.1版本。 如果您由于业务原因暂时无法升级集群，建议您采取以下安全防范措施： 当前ACK集群默认关闭apiserver 8080非认证端口，请不要手动开启该端口。 排查控制台节点网络下暴露的Service是否开启了认证鉴权，对未保护的服务评估影响，关闭其中可能造成信息泄露的服务。 限制可疑用户创建Pod和StorageClass的写权限。
修复后的验证
完成变更后回读 kube controller manager SSRF漏洞 的实际版本、补丁和配置，确认已落在厂商修复范围；需要重启的服务应验证重启结果，再检查相关业务功能、访问控制与日志。临时缓解应单独标注并跟踪正式修复。
参考来源
英文技术描述已按原文语义整理为中文，产品名、协议名、版本号、命令、路径和官方链接予以保留。涉及多 CVE 的文章维持为一篇，不拆分原文章。
暂无评论内容