kube-proxy组件在iptables和ipvs模式下均需要设置内核参数 net.ipv4.conf.all.route_localnet=1 ， 从而允许本地回环访问。攻击者可能通过共享主机网络的容器，或在集群节点访问同一个LAN或二层网络下的相邻节点上绑定监听了本地127.0.0.1端口的TCP/UDP服务，从而获取接口信息。如果服务没有设置必要的安全认证，可能会造成信息泄露风险。
漏洞概览
- CVE 编号
- CVE-2020-8558
- 文章标题
- CVE-2020-8558 Kubernetes 服务端请求伪造漏洞
- 影响产品或组件
- 未命名漏洞案例
- 漏洞类型
- 以原文描述为准，未单独列出 CWE
- 原文字符数
- 3569
- 资料核验日期
- 2026-09-18
安全风险等级评估
原文未提供独立的风险等级评估。处置优先级应结合漏洞可利用性、资产暴露面和业务影响判断。
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| 未命名漏洞案例 | 在下列版本的kube-proxy组件均在此CVE的影响范围内： kube-proxy v1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 0~v1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | kube-proxy v1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | kube-proxy≤v1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 当前ACK集群节点中默认监听127 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 1的系统服务是需要认证的，且API Server也统一禁用了非认证端口 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 唯一暴露的是kubelet 10255的非认证只读端口，由于kubelet只读接口同样监听在0 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 0，因此即使修复了该漏洞在本地或特权容器中也同样可以获取到接口信息 | 按原文或厂商公告核对修复边界 |
原文范围说明：在下列版本的kube-proxy组件均在此CVE的影响范围内： kube-proxy v1.18.0~v1.18.3 kube-proxy v1.17.0~v1.17.6 kube-proxy≤v1.16.10 当前ACK集群节点中默认监听127.0.0.1的系统服务是需要认证的，且API Server也统一禁用了非认证端口。唯一暴露的是kubelet 10255的非认证只读端口，由于kubelet只读接口同样监听在0.0.0.0，因此即使修复了该漏洞在本地或特权容器中也同样可以获取到接口信息。综上，该CVE对ACK集群影响不大。
漏洞详情
漏洞机制
kube-proxy组件在iptables和ipvs模式下均需要设置内核参数 net.ipv4.conf.all.route_localnet=1 ， 从而允许本地回环访问。攻击者可能通过共享主机网络的容器，或在集群节点访问同一个LAN或二层网络下的相邻节点上绑定监听了本地127.0.0.1端口的TCP/UDP服务，从而获取接口信息。如果服务没有设置必要的安全认证，可能会造成信息泄露风险。
触发条件与权限边界
在下列版本的kube-proxy组件均在此CVE的影响范围内： kube-proxy v1.18.0~v1.18.3 kube-proxy v1.17.0~v1.17.6 kube-proxy≤v1.16.10 当前ACK集群节点中默认监听127.0.0.1的系统服务是需要认证的，且API Server也统一禁用了非认证端口。唯一暴露的是kubelet 10255的非认证只读端口，由于kubelet只读接口同样监听在0.0.0.0，因此即使修复了该漏洞在本地或特权容器中也同样可以获取到接口信息。综上，该CVE对ACK集群影响不大。
场景与影响
kube-proxy组件在iptables和ipvs模式下均需要设置内核参数 net.ipv4.conf.all.route_localnet=1 ， 从而允许本地回环访问。攻击者可能通过共享主机网络的容器，或在集群节点访问同一个LAN或二层网络下的相邻节点上绑定监听了本地127.0.0.1端口的TCP/UDP服务，从而获取接口信息。如果服务没有设置必要的安全认证，可能会造成信息泄露风险。 在下列版本的kube-proxy组件均在此CVE的影响范围内： kube-proxy v1.18.0~v1.18.3 kube-proxy v1.17.0~v1.17.6 kube-proxy≤v1.16.10 当前ACK集群节点中默认监听127.0.0.1的系统服务是需要认证的，且API Server也统一禁用了非认证端口。唯一暴露的是kubelet 10255的非认证只读端口，由于kubelet只读接口同样监听在0.0.0.0，因此即使修复了该漏洞在本地或特权容器中也同样可以获取到接口信息。综上，该CVE对ACK集群影响不大。
检测与排查
资产、配置与日志核查
围绕 CVE-2020-8558 盘点实际资产、软件包或插件版本、启用组件、访问入口和相关日志；修复后回读运行版本与补丁状态，复核业务功能、访问控制和异常进程。不要在生产环境通过投递恶意样本或反复认证失败来验证漏洞。
防范措施与修复验证
修复与缓解
建议您采取以下安全防范措施： 当前ACK集群默认关闭API Server 8080非认证端口，请勿手动开启该端口。 执行以下命令，在集群中配置iptables规则，用于拒绝非本地对127.0.0.1的访问流量。 iptables – I INPUT –dst 127.0.0.0/8 ! –src 127.0.0.0/8 -m conntrack ! –ctstate RELATED,ESTABLISHED,DNAT -j DROP 严格控制集群节点共享主机的登录权限，及时吊销可能泄露的kubeconfig集群访问凭证。 禁止Container开启CAP_NET_RAW能力，执行以下命令，可以在pod spec中关闭Container的CAP_NET_RAW能力。 securityContext: capabilities: drop: [ "NET_RAW" ] 通过PodSecurityPolicy策略限制部署特权或共享主机网络容器，另外可以通过在策略中配置 requiredDropCapabilities 强制容器部署关闭CAP_NET_RAW能力
修复后的验证
完成变更后回读 未命名漏洞案例 的实际版本、补丁和配置，确认已落在厂商修复范围；需要重启的服务应验证重启结果，再检查相关业务功能、访问控制与日志。临时缓解应单独标注并跟踪正式修复。
参考来源
英文技术描述已按原文语义整理为中文，产品名、协议名、版本号、命令、路径和官方链接予以保留。涉及多 CVE 的文章维持为一篇，不拆分原文章。
暂无评论内容