近日Kubernetes官方披露了kube-apiserver组件的安全漏洞，攻击者可以通过截取某些发送至节点kubelet的升级请求，通过请求中原有的访问凭据转发请求至其他目标节点，从而造成节点的权限提升漏洞。本文介绍该漏洞的影响范围、漏洞影响和防范措施。
漏洞概览
- CVE 编号
- CVE-2020-8559
- 文章标题
- CVE-2020-8559 Kubernetes LoadBalancer 访问控制绕过漏洞
- 影响产品或组件
- 未命名漏洞案例
- 漏洞类型
- 以原文描述为准，未单独列出 CWE
- 原文字符数
- 2275
- 资料核验日期
- 2026-09-18
安全风险等级评估
由于kube-apiserver中在升级请求的代理后端中允许将请求传播回源客户端，攻击者可以通过截取某些发送至节点kubelet的升级请求，通过请求中原有的访问凭据转发请求至其他目标节点，从而造成被攻击节点的权限提升漏洞。该漏洞为中危漏洞，CVSS评分为 6.4 。 如果有多个集群共享使用了相同的CA和认证凭证，攻击者可以利用此漏洞攻击其他集群，这种情况下该漏洞为高危漏洞。
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| 未命名漏洞案例 | 0之后到下列修复版本的所有kube-apiserver组件均包含漏洞代码： kube-apiserver v1 | 按原文或厂商公告核对修复边界 |
| 未命名漏洞案例 | kube-apiserver v1 | 按厂商公告与产品矩阵核对 |
| 未命名漏洞案例 | 下列应用场景在此次漏洞的影响范围内： 如果集群运行业务中存在多租户场景，且以节点作为不同租户间隔离的安全边界 | 按厂商公告与产品矩阵核对 |
原文范围说明：从v1.6.0之后到下列修复版本的所有kube-apiserver组件均包含漏洞代码： kube-apiserver v1.18.6 kube-apiserver v1.17.9 kube-apiserver v1.16.13 下列应用场景在此次漏洞的影响范围内： 如果集群运行业务中存在多租户场景，且以节点作为不同租户间隔离的安全边界。 不同集群间共享使用了相同的集群CA和认证凭据。
漏洞详情
漏洞机制
近日Kubernetes官方披露了kube-apiserver组件的安全漏洞，攻击者可以通过截取某些发送至节点kubelet的升级请求，通过请求中原有的访问凭据转发请求至其他目标节点，从而造成节点的权限提升漏洞。本文介绍该漏洞的影响范围、漏洞影响和防范措施。
触发条件与权限边界
从v1.6.0之后到下列修复版本的所有kube-apiserver组件均包含漏洞代码： kube-apiserver v1.18.6 kube-apiserver v1.17.9 kube-apiserver v1.16.13 下列应用场景在此次漏洞的影响范围内： 如果集群运行业务中存在多租户场景，且以节点作为不同租户间隔离的安全边界。 不同集群间共享使用了相同的集群CA和认证凭据。
场景与影响
近日Kubernetes官方披露了kube-apiserver组件的安全漏洞，攻击者可以通过截取某些发送至节点kubelet的升级请求，通过请求中原有的访问凭据转发请求至其他目标节点，从而造成节点的权限提升漏洞。本文介绍该漏洞的影响范围、漏洞影响和防范措施。 从v1.6.0之后到下列修复版本的所有kube-apiserver组件均包含漏洞代码： kube-apiserver v1.18.6 kube-apiserver v1.17.9 kube-apiserver v1.16.13 下列应用场景在此次漏洞的影响范围内： 如果集群运行业务中存在多租户场景，且以节点作为不同租户间隔离的安全边界。 不同集群间共享使用了相同的集群CA和认证凭据。
检测与排查
资产、配置与日志核查
围绕 CVE-2020-8559 盘点实际资产、软件包或插件版本、启用组件、访问入口和相关日志；修复后回读运行版本与补丁状态，复核业务功能、访问控制和异常进程。不要在生产环境通过投递恶意样本或反复认证失败来验证漏洞。
防范措施与修复验证
修复与缓解
对于此次漏洞的跨集群攻击场景，ACK集群使用了独立签发的CA，同时不同集群间认证凭据完全隔离。 对于集群内跨节点的攻击，建议您采取以下安全防范措施： 开启集群kube-apiserver审计日志，如果下列资源模型请求的请求响应码在300~399之间，则该集群可能已经被攻击： pods/exec pods/attach pods/portforward 任意资源模型的proxy类型（比如pods/proxy、services/proxy） 及时吊销可能泄露的kubeconfig凭证，并且遵循权限最小化原则，收敛子账号不必要的pods/exec、pods/attach、pods/portforward和proxy类型的资源模型RBAC权限。
修复后的验证
完成变更后回读 未命名漏洞案例 的实际版本、补丁和配置，确认已落在厂商修复范围；需要重启的服务应验证重启结果，再检查相关业务功能、访问控制与日志。临时缓解应单独标注并跟踪正式修复。
参考来源
英文技术描述已按原文语义整理为中文，产品名、协议名、版本号、命令、路径和官方链接予以保留。涉及多 CVE 的文章维持为一篇，不拆分原文章。
暂无评论内容