12月10日公开的Log4j漏洞迅速成为2021年最重要的安全威胁之一。但是，到目前为止，这并不是安全团队全年必须努力解决的唯一问题。与每年一样，2021年也发生了影响许多组织的其他大数据泄露和安...

Kubectl cp 命令允许用户在容器和用户机器之间拷贝文件，攻击者可能通过在镜像或运行容器中植入带有符号链接（symbolic links）头的恶意 tar 包，在 cp 命令执行解压过程中修改或监控符号链接头...

阿里云容器服务Kubernetes版已修复kube-controller-manager组件中存在的SSRF漏洞CVE-2020-8555。通过认证鉴权的攻击者可能通过服务端请求伪造获取控制节点（Master Node）网络下未经认证鉴权保...

kube-proxy组件在iptables和ipvs模式下均需要设置内核参数net.ipv4.conf.all.route_localnet=1， 从而允许本地回环访问。攻击者可能通过共享主机网络的容器，或在集群节点访问同一个LAN或二层网...

CVE-2020-13401漏洞源于IPv6动态分配提供了IPv6的DHCP技术外，还支持Router Advertisement技术。路由器会定期向节点通告网络状态，包括路由记录。客户端会通过NDP进行自身网络配置。本文介绍该...

近日Kubernetes官方披露了kube-apiserver组件的安全漏洞，攻击者可以通过截取某些发送至节点kubelet的升级请求，通过请求中原有的访问凭据转发请求至其他目标节点，从而造成节点的权限提升漏洞...