安全性公告

本頁面會說明下列產品的所有安全性公告：

  • Google Kubernetes Engine (GKE)
  • VMware 上的 Google Distributed Cloud (僅限軟體)
  • GKE on AWS
  • GKE on Azure
  • 裸機上的 Google Distributed Cloud (僅限軟體)

發現安全漏洞之後，我們通常會保密，直到相關單位能夠將安全漏洞解決為止。在這種情況下，只要保密規定尚未撤銷，產品的版本資訊都只會將漏洞稱為「安全性更新」。保密規定撤銷後，我們就會更新版本資訊，向使用者說明修補內容中解決的安全漏洞為何。

如果 GKE 發布的安全性公告與您的叢集設定或版本直接相關，我們可能會傳送SecurityBulletinEvent叢集通知，提供有關安全漏洞的資訊和可採取的行動 (如適用)。如要瞭解如何設定叢集通知，請參閱「叢集通知」。

如要進一步瞭解 Google 如何管理 GKE 和 GKE Enterprise 的安全漏洞和修補程式，請參閱「安全性修補程式」。

GKE 和 GKE Enterprise 平台不會使用 ingress-nginx 和 CRI-O 容器執行階段等元件，因此不受這些元件中的任何安全漏洞影響。如果從其他來源安裝元件，請參閱來源中這些元件的安全性更新和修補建議。

使用這個 XML 動態饋給訂閱本頁面的安全公告。

GCP-2025-036

發布日期：2025 年 7 月 1 日
參考資料： CVE-2025-38001

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-38001

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.33.1-gke.1959000
  • 1.30.12-gke.1279000
  • 1.31.9-gke.1287000
  • 1.28.15-gke.2428000
  • 1.29.15-gke.1549000
  • 1.32.4-gke.1698000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-38001

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-38001

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-38001

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-38001

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-035

發布日期：2025-06-17
參考資料： CVE-2025-37997

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37997

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.28.15-gke.2403000
  • 1.31.9-gke.1176000
  • 1.30.12-gke.1246000
  • 1.29.15-gke.1523000
  • 1.33.1-gke.1545000
  • 1.27.16-gke.2874000
  • 1.32.4-gke.1603000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37997

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37997

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37997

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37997

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-034

發布日期：2025 年 6 月 17 日
參考資料： CVE-2025-38000

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-38000

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.33.1-gke.1545000
  • 1.27.16-gke.2874000
  • 1.32.4-gke.1603000
  • 1.28.15-gke.2403000
  • 1.30.12-gke.1246000
  • 1.31.9-gke.1176000
  • 1.29.15-gke.1523000

如果叢集在自己的發布版本中執行相同的子版本，您就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-38000

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-38000

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-38000

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-38000

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-033

發布日期：2025 年 6 月 6 日
參考資料：不適用

GKE

說明 嚴重性

我們發現一項安全性問題，攻擊者可能可以規避 GKE 叢集的工作負載隔離限制。只有依賴節點隔離功能來分隔叢集內工作負載的叢集會受到影響。請注意，節點隔離絕不應做為主要安全邊界。

如要利用這項安全漏洞，攻擊者必須先取得 kubelet 節點用戶端憑證。如要存取這些憑證，通常需要主機的根權限和主機檔案系統的存取權。對大多數系統而言，這表示您需要應用程式漏洞才能存取工作負載，並需要容器突破漏洞才能存取主機。如果攻擊者取得這類憑證，可能會採取下列行動：

  • 攻擊者可能會重新註冊節點，並使用相同名稱，但 Node 物件中某些欄位的值不同。具體來說，攻擊者可以將 .spec.providerID 設為指向叢集中的其他執行個體，導致 GKE 控制平面刪除參照的 Compute Engine 執行個體。
  • 攻擊者也可能變更 .spec.taints，影響工作負載排程。 實作節點隔離做為安全控管措施時，您必須使用標籤和標籤選取器，並加上 node-restriction.kubernetes.io/ 前置字元，防止遭入侵的節點操控排程行為。

該怎麼辦？

如要解決這個問題，請進行下列變更：

升級 GKE 叢集，並視需要導入驗證許可政策

將 GKE 叢集升級至修補版本，解決供應商 ID 問題。下列 GKE 版本或更新版本已更新，可解決 providerID 問題：

  • 1.33.1-gke.1386000
  • 1.32.4-gke.1533000
  • 1.31.9-gke.1119000
  • 1.30.12-gke.1208000

或者，如果無法升級，請在叢集上實作下列驗證許可政策，以減輕 providerID 問題： 

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingAdmissionPolicy
metadata:
  name: validate-node-providerid
spec:
  failurePolicy: Fail
  matchConstraints:
    resourceRules:
    - apiGroups:   [""]
      apiVersions: ["v1"]
      operations:  ["CREATE", "UPDATE"]
      resources:   ["nodes"]
  matchConditions:
  - name: "has-providerid"
    expression: "has(object.spec.providerID)"
  validations:
  - expression: "object.spec.providerID == '' || object.spec.providerID.endsWith('/' + object.metadata.name)"
    message: "node.spec.providerID must match the node name"
---
apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingAdmissionPolicyBinding
metadata:
  name: validate-node-providerid-binding
spec:
  policyName: validate-node-providerid
  validationActions: [Deny]

將工作負載隔離到特定節點時，請使用節點限制標籤做為安全控管措施

如果您使用標籤進行節點隔離 (如 Kubernetes 說明文件所述)，請在用於工作負載隔離的節點親和性和節點選取器條件中，使用節點受限標籤 (例如 node-restriction.kubernetes.io/example-constraint 形式的標籤)。

Kubelet 節點憑證無法套用這類標籤，因為 NodeRestriction 准入控制器會禁止這類行為。Kubernetes 內建 NodeRestriction 准入控制器，且所有 GKE 叢集都會啟用這項控制器。

GKE 會限制新叢集新建立節點的節點憑證範圍

為進一步強化安全性，從 GKE 1.33.1-gke.1386000 版開始，新叢集會限制新建立節點的節點憑證範圍。節點憑證會繫結至最初為節點佈建的 Compute Engine 執行個體。刪除執行個體後，攻擊者就無法使用遭盜用的憑證註冊節點，並控制汙點或 providerID 值。您可以建立版本為 1.33.1-gke.1386000 以上的新叢集，讓新建立的節點具備這項額外強化功能。

 中

GDC (VMware)

說明 嚴重性

我們發現一項安全性問題，攻擊者可能可以規避 GKE 叢集的工作負載隔離限制。

該怎麼辦？

您無須採取任何行動。這個問題與 Compute Engine 上 GKE 節點的佈建和管理方式有關，不適用於 GDC (VMware)。

 無

GKE on AWS

說明 嚴重性

我們發現一項安全性問題，攻擊者可能可以規避 GKE 叢集的工作負載隔離限制。

該怎麼辦？

GKE on AWS

您無須採取任何行動。這個問題與 Compute Engine 上 GKE 節點的佈建和管理方式有關，不適用於 GKE on AWS。

GKE on AWS (舊版)

您無須採取任何行動。這個問題與 Compute Engine 上 GKE 節點的佈建和管理方式有關，不適用於 GKE on AWS (上一代)。

 無

GKE on Azure

說明 嚴重性

我們發現一項安全性問題，攻擊者可能可以規避 GKE 叢集的工作負載隔離限制。

該怎麼辦？

您無須採取任何行動。這個問題與 Compute Engine 上 GKE 節點的佈建和管理方式有關，不適用於 Azure 上的 GKE。

 無

GDC (裸機)

說明 嚴重性

我們發現一項安全性問題，攻擊者可能可以規避 GKE 叢集的工作負載隔離限制。

該怎麼辦？

您無須採取任何行動。這個問題與 Compute Engine 上 GKE 節點的佈建和管理方式有關，不適用於 GDC (Bare Metal)。

 無

GCP-2025-032

發布日期：2025-06-03
參考資料： CVE-2025-37798

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37798

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.29.15-gke.1415000
  • 1.30.12-gke.1168000
  • 1.31.9-gke.1044000
  • 1.27.16-gke.2771000
  • 1.28.15-gke.2303000
  • 1.32.4-gke.1415000
  • 1.33.1-gke.1107000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37798

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37798

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37798

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37798

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-031

發布日期：2025-06-03
參考資料： CVE-2025-37797

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37797

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.32.4-gke.1415000
  • 1.28.15-gke.2303000
  • 1.27.16-gke.2820000
  • 1.33.1-gke.1107000
  • 1.29.15-gke.1415000
  • 1.31.9-gke.1044000
  • 1.30.12-gke.1168000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37797

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37797

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37797

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-37797

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-022

發布日期：2025-05-01
更新日期：2025-05-22
參考資料： CVE-2025-21702

2025 年 5 月 22 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

GKE

更新時間： 2025 年 5 月 22 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21702

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2025 年 5 月 22 日更新： 下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 GKE Ubuntu 節點集區升級至下列版本以上：

  • 1.27.16-gke.2771000
  • 1.28.15-gke.2239000
  • 1.29.15-gke.1325000
  • 1.30.12-gke.1086000
  • 1.31.8-gke.1113000
  • 1.32.4-gke.1236000
  • 1.33.0-gke.1868000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.29.15-gke.1193000
  • 1.30.11-gke.1157000
  • 1.31.7-gke.1265000
  • 1.32.3-gke.1785000
  • 1.28.15-gke.2072000
  • 1.27.16-gke.2650000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21702

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21702

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21702

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21702

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-021

發布日期：2025 年 4 月 29 日
更新日期：2025 年 6 月 2 日
參考資料： CVE-2025-21971

2025 年 6 月 2 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

GKE

更新日期： 2025 年 6 月 2 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21971

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2025 年 6 月 2 日更新： 下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 GKE Ubuntu 節點集區升級至下列版本以上：

  • 1.27.16-gke.2820000
  • 1.28.15-gke.2303000
  • 1.29.15-gke.1415000
  • 1.30.12-gke.1168000
  • 1.31.9-gke.1044000
  • 1.32.4-gke.1415000
  • 1.33.1-gke.1107000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.28.15-gke.2142000
  • 1.30.11-gke.1157000
  • 1.31.7-gke.1265000
  • 1.32.3-gke.1785000
  • 1.29.15-gke.1193000
  • 1.27.16-gke.2682000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21971

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21971

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21971

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21971

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-019

發布日期：2025-04-25
更新日期：2025-06-26
參考資料： CVE-2025-21701

2025 年 6 月 26 日更新：新增 GDC (VMware) 的修補程式版本。

2025 年 5 月 22 日更新：新增 GKE Ubuntu 節點集區的修補程式版本。

GKE

更新時間： 2025 年 5 月 22 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2025-21701

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2025 年 5 月 22 日更新： 下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 GKE Ubuntu 節點集區升級至下列版本以上：

  • 1.27.16-gke.2771000
  • 1.28.15-gke.2239000
  • 1.29.15-gke.1325000
  • 1.30.12-gke.1086000
  • 1.31.8-gke.1113000
  • 1.32.4-gke.1236000
  • 1.33.0-gke.1868000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.16-gke.2440000
  • 1.28.15-gke.1844000
  • 1.29.14-gke.1018000
  • 1.30.10-gke.1042000
  • 1.31.6-gke.1020000
  • 1.32.1-gke.1729000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2025 年 6 月 26 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2025-21701

該怎麼辦？

2025 年 6 月 26 日更新： 下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本以上：

  • 1.32.0-gke.1087
  • 1.31.300-gke.81
  • 1.30.700-gke.56

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2025-21701

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2025-21701

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2025-21701

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-018

發布日期：2025 年 4 月 23 日
參考資料： CVE-2025-40364

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2025-40364

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.16-gke.2573000
  • 1.28.15-gke.2003000
  • 1.29.15-gke.1017000
  • 1.30.10-gke.1227000
  • 1.31.6-gke.1221000
  • 1.32.2-gke.1652000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2025-40364

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2025-40364

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2025-40364

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2025-40364

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-017

發布日期：2025-04-17
更新日期：2025-05-22
參考資料： CVE-2025-21756

2025 年 5 月 22 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2025 年 5 月 5 日更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

GKE

更新時間： 2025 年 5 月 22 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21756

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2025 年 5 月 22 日更新： 下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 GKE Ubuntu 節點集區升級至下列版本以上：

  • 1.27.16-gke.2771000
  • 1.28.15-gke.2239000
  • 1.29.15-gke.1325000
  • 1.30.12-gke.1086000
  • 1.31.8-gke.1113000
  • 1.32.4-gke.1236000
  • 1.33.0-gke.1868000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.31.6-gke.1221000
  • 1.30.11-gke.1093000
  • 1.29.15-gke.1134000
  • 1.27.16-gke.2650000
  • 1.32.3-gke.1170000
  • 1.28.15-gke.2097000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2025 年 5 月 5 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21756

該怎麼辦？

2025 年 5 月 5 日更新： 下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本以上：

  • 1.31.400-gke.110
  • 1.29.1300-gke.98

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21756

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21756

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21756

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-016

發布日期：2025-04-16
更新日期：2025-05-22
參考資料： CVE-2023-52927

2025 年 5 月 22 日更新： 新增 Ubuntu GKE 節點的修補程式版本。

2025 年 4 月 29 日更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

GKE

更新時間： 2025 年 5 月 22 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2023-52927

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2025 年 5 月 22 日更新： 下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 GKE Ubuntu 節點集區升級至下列版本以上：

  • 1.27.16-gke.2771000
  • 1.28.15-gke.2239000
  • 1.29.15-gke.1325000
  • 1.30.12-gke.1086000
  • 1.31.8-gke.1113000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.31.6-gke.1064000
  • 1.28.15-gke.2097000
  • 1.32.2-gke.1652000
  • 1.27.16-gke.2650000
  • 1.29.15-gke.1134000
  • 1.30.11-gke.1093000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2025 年 4 月 29 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2023-52927

該怎麼辦？

2025 年 4 月 29 日更新： 下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本以上：

  • 1.31.400-gke.110
  • 1.30.800-gke.66

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2023-52927

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2023-52927

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2023-52927

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-015

發布日期：2025-04-15
更新日期：2025-05-22
參考資料： CVE-2025-21700

2025 年 5 月 22 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2025 年 4 月 17 日更新： 新增 GDC (VMware) 的修補程式版本。將 GDC (VMware) 的嚴重程度從「待處理」更新為「高」。

GKE

更新時間： 2025 年 5 月 22 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21700

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2025 年 5 月 22 日更新： 下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 GKE Ubuntu 節點集區升級至下列版本以上：

  • 1.27.16-gke.2771000
  • 1.28.15-gke.2239000
  • 1.29.15-gke.1325000
  • 1.30.12-gke.1086000
  • 1.31.8-gke.1113000
  • 1.32.4-gke.1236000
  • 1.33.0-gke.1868000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.32.2-gke.1652000
  • 1.28.15-gke.1844000
  • 1.30.10-gke.1070000
  • 1.31.6-gke.1064000
  • 1.27.16-gke.2451000
  • 1.29.14-gke.1067000

如果叢集在自己的發布版本中執行相同的子版本，您就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新時間： 2025 年 4 月 17 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21700

該怎麼辦？

2025 年 4 月 17 日更新： 下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本或更新版本：

  • 1.30.600-gke.68
  • 1.29.1100-gke.82
  • 1.31.300-gke.81

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21700

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21700

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21700

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-014

發布日期：2025-04-10
更新日期：2025-05-22
參考資料： CVE-2025-21703

2025 年 5 月 22 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2025 年 5 月 5 日更新： 新增 VMware 適用的 GDC 軟體修補程式版本。

GKE

更新時間： 2025 年 5 月 22 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21703

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2025 年 5 月 22 日更新： 下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 GKE Ubuntu 節點集區升級至下列版本以上：

  • 1.27.16-gke.2771000
  • 1.28.15-gke.2239000
  • 1.29.15-gke.1325000
  • 1.30.12-gke.1086000
  • 1.31.8-gke.1113000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.32.3-gke.1170000
  • 1.29.15-gke.1017000
  • 1.27.16-gke.2573000
  • 1.28.15-gke.2003000
  • 1.30.10-gke.1227000
  • 1.31.6-gke.1221000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2025 年 5 月 5 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21703

該怎麼辦？

2025 年 5 月 5 日更新： 下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本以上：

  • 1.29.1300-gke.98
  • 1.31.300-gke.81
  • 1.30.800-gke.66

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21703

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21703

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2025-21703

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-013

發布日期：2025 年 3 月 24 日
參考資料：CVE-2025-1974

GKE

說明 嚴重性

NGINX Ingress Controller (ingress-nginx) 是一種開放原始碼軟體元件，可在 Kubernetes 叢集內執行，協助管理進入叢集的網路流量。我們在 NGINX Ingress Controller 中發現多項安全性問題，其中最嚴重的是 CVE-2025-1974。如需完整詳細資料和完整清單，請參閱 Kubernetes CVE 動態饋給。

這些問題會影響 ingress-nginx。如果叢集未安裝 ingress-nginx，就不會受到影響。

GKE 叢集不會使用 ingress-nginx，因此除非您在叢集上安裝 ingress-nginx，否則不會受到這些安全性問題影響。如果您在 GKE 叢集上安裝了 ingress-nginx，可能會受到這些安全問題影響。

使用 CVE-2025-1974，未經驗證的攻擊者只要能存取 Pod 網路，就能在 ingress-nginx 控制器環境中執行任意程式碼。這可能會導致控制器可存取的密鑰外洩。 使用 ingress-nginx 的預設設定時，控制器可以存取整個叢集中的所有密鑰。

該怎麼辦？

  1. 使用下列任一指令，檢查 GKE 叢集是否使用 ingress-nginx：

    • 檢查個別叢集：

      kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx

    • 使用 Cloud Asset Inventory 資源搜尋查詢，一次檢查多個叢集：

      gcloud asset search-all-resources \
    --scope='organizations/ORGANIZATION_ID' \
    --asset-types='k8s.io/Pod' \
    --query='labels."app.kubernetes.io/name"="ingress-nginx"'

      將 ORGANIZATION_ID 替換為機構資源 ID。詳情請參閱「取得機構資源 ID」。

  2. 請將 ingress-nginx 升級至修補版本。詳情請參閱 Kubernetes 官方 CVE 動態饋給。

  3. 請參閱這篇文章，瞭解如何在 GKE 中自訂網路隔離。

    如要降低來自不受信任網路的風險，請考慮使用私人節點，並確保已設定限制性防火牆設定。

 無

GDC (VMware)

說明 嚴重性

NGINX Ingress Controller (ingress-nginx) 是一種開放原始碼軟體元件，可在 Kubernetes 叢集內執行，協助管理進入叢集的網路流量。我們發現這個元件存在多項安全性問題，其中最嚴重的是 CVE-2025-1974。如需完整詳細資料和完整清單，請參閱 Kubernetes CVE 動態饋給。

這些問題會影響 ingress-nginx。如果叢集未安裝 ingress-nginx，就不會受到影響。

VMware 叢集的 GDC 軟體不會使用 ingress-nginx，因此除非您在叢集上安裝 ingress-nginx，否則不會受到這些安全問題影響。如果您已在 VMware 叢集的 GDC 軟體上安裝 ingress-nginx，可能容易受到這些安全問題影響。

使用 CVE-2025-1974，未經驗證的攻擊者只要能存取 Pod 網路，就能在 ingress-nginx 控制器的環境中執行任意程式碼。這可能會導致控制器可存取的密鑰外洩。 使用 ingress-nginx 的預設設定時，控制器可以存取整個叢集中的所有密鑰。

該怎麼辦？

  1. 檢查 VMware 叢集的 GDC 軟體是否使用 ingress-nginx：

    kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx
  2. 請將 ingress-nginx 升級至修補版本。詳情請參閱官方 Kubernetes CVE 動態饋給。
 無

GKE on AWS

說明 嚴重性

NGINX Ingress Controller (ingress-nginx) 是一種開放原始碼軟體元件，可在 Kubernetes 叢集內執行，協助管理進入叢集的網路流量。我們發現這個元件存在多項安全性問題，其中最嚴重的是 CVE-2025-1974。如需完整詳細資料和完整清單，請參閱 Kubernetes CVE 動態饋給。

這些問題會影響 ingress-nginx。如果叢集未安裝 ingress-nginx，就不會受到影響。

AWS 上的 GKE 叢集不會使用 ingress-nginx，因此除非您在叢集上安裝 ingress-nginx，否則不會受到這些安全問題影響。如果您已在 AWS 上的 GKE 叢集安裝 ingress-nginx，可能容易受到這些安全問題影響。

使用 CVE-2025-1974，未經驗證的攻擊者只要能存取 Pod 網路，就能在 ingress-nginx 控制器的環境中執行任意程式碼。這可能會導致控制器可存取的密鑰外洩。 使用 ingress-nginx 的預設設定時，控制器可以存取整個叢集中的所有密鑰。

該怎麼辦？

  1. 檢查 GKE on AWS 叢集是否使用 ingress-nginx：

    kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx
  2. 請將 ingress-nginx 升級至修補版本。詳情請參閱 Kubernetes 官方 CVE 動態饋給。
 無

GKE on Azure

說明 嚴重性

NGINX Ingress Controller (ingress-nginx) 是一種開放原始碼軟體元件，可在 Kubernetes 叢集內執行，協助管理進入叢集的網路流量。我們發現這個元件存在多項安全性問題，其中最嚴重的是 CVE-2025-1974。如需完整詳細資料和完整清單，請參閱 Kubernetes CVE 動態饋給。

這些問題會影響 ingress-nginx。如果叢集未安裝 ingress-nginx，就不會受到影響。

Azure 上的 GKE 叢集不會使用 ingress-nginx，因此除非您在叢集上安裝 ingress-nginx，否則不會受到這些安全性問題影響。如果您已在 Azure 上的 GKE 叢集安裝 ingress-nginx，可能會受到這些安全問題影響。

使用 CVE-2025-1974，未經驗證的攻擊者只要能存取 Pod 網路，就能在 ingress-nginx 控制器的環境中執行任意程式碼。這可能會導致控制器可存取的密鑰外洩。 使用 ingress-nginx 的預設設定時，控制器可以存取整個叢集中的所有密鑰。

該怎麼辦？

  1. 檢查 Azure 上的 GKE 叢集是否使用 ingress-nginx：

    kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx
  2. 請將 ingress-nginx 升級至修補版本。詳情請參閱官方 Kubernetes CVE 動態饋給。
 無

GDC (裸機)

說明 嚴重性

NGINX Ingress Controller (ingress-nginx) 是一種開放原始碼軟體元件，可在 Kubernetes 叢集內執行，協助管理進入叢集的網路流量。我們發現這個元件存在多項安全性問題，其中最嚴重的是 CVE-2025-1974。如需完整詳細資料和完整清單，請參閱 Kubernetes CVE 動態饋給。

這些問題會影響 ingress-nginx。如果叢集未安裝 ingress-nginx，就不會受到影響。

裸機叢集的 GDC 軟體不會使用 ingress-nginx，因此除非您在叢集上安裝 ingress-nginx，否則不會受到這些安全問題影響。如果您已在裸機叢集的 GDC 軟體上安裝 ingress-nginx，可能容易受到這些安全問題影響。

使用 CVE-2025-1974，未經驗證的攻擊者只要能存取 Pod 網路，就能在 ingress-nginx 控制器的環境中執行任意程式碼。這可能會導致控制器可存取的密鑰外洩。 使用 ingress-nginx 的預設設定時，控制器可以存取整個叢集中的所有密鑰。

該怎麼辦？

  1. 檢查裸機叢集的 GDC 軟體是否使用以下版本： ingress-nginx

    kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx
  2. 請將 ingress-nginx 升級至修補版本。詳情請參閱官方 Kubernetes CVE 動態饋給。
 無

GCP-2025-012

發布日期：2025-04-10
更新日期：2025-04-10
參考資料： CVE-2024-53164

2025 年 4 月 10 日更新： 新增 Ubuntu GKE 節點和 VMware 適用的 GDC 軟體修補程式版本。

GKE

更新日期： 2025 年 4 月 10 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-53164

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2025 年 4 月 10 日更新： 下列 GKE 版本已更新程式碼，可修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.31.6-gke.1064000
  • 1.27.16-gke.2451000
  • 1.28.15-gke.1844000
  • 1.29.14-gke.1067000
  • 1.30.10-gke.1070000
  • 1.32.2-gke.1652000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.16-gke.2451000
  • 1.32.2-gke.1182000
  • 1.29.14-gke.1067000
  • 1.30.10-gke.1070000
  • 1.31.6-gke.1064000
  • 1.28.15-gke.1844000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2025 年 4 月 10 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-53164

該怎麼辦？

2025 年 4 月 10 日更新： 下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本以上：

  • 1.29.1100-gke.82
  • 1.31.200-gke.58
  • 1.30.500-gke.126

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-53164

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-53164

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-53164

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-010

發布日期：2025-03-05
更新日期：2025-06-02
參考資料： CVE-2024-56770

2025 年 6 月 2 日更新： 新增 GKE 的修補程式版本。

2025 年 4 月 10 日更新： 新增適用於 VMware 的 GDC 軟體修補程式版本。

GKE

更新日期： 2025 年 6 月 2 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-56770

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2025 年 6 月 2 日更新： 下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 GKE Ubuntu 節點集區升級至下列版本以上：

  • 1.27.16-gke.2732000
  • 1.28.15-gke.2192000
  • 1.29.15-gke.1274000
  • 1.30.12-gke.1151000
  • 1.31.8-gke.1113000
  • 1.32.4-gke.1415000
  • 1.33.1-gke.1107000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.16-gke.2387000
  • 1.28.15-gke.1612000
  • 1.29.13-gke.1006000
  • 1.30.8-gke.1261000
  • 1.31.5-gke.1023000
  • 1.32.1-gke.1729000

如果叢集在自己的發布版本中執行相同的子版本，您就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2025 年 4 月 10 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-56770

該怎麼辦？

2025 年 4 月 10 日更新： 下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本以上：

  • 1.31.200-gke.58
  • 1.30.500-gke.126
  • 1.29.1100-gke.82

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-56770

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-56770

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-56770

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-009

發布日期：2025 年 3 月 5 日
參考資料：CVE-2024-53269、 CVE-2024-53270、 CVE-2024-53271

GKE

說明 嚴重性

Envoy 專案最近發布了幾項新的安全漏洞 (CVE-2024-53269、CVE-2024-53270 和 CVE-2024-53271)，攻擊者可利用這些漏洞導致 Envoy 停止運作。

使用 GKE 適用的 Identity 服務的 GKE 次要版本 1.31 和 1.32 會受到影響。使用 GKE Sandbox 的叢集和 GKE Autopilot 叢集也會受到影響。

該怎麼辦？

將 GKE 叢集和節點集區升級至下列其中一個版本或更新版本：

  • 1.31.3-gke.1162000
  • 1.32.0-gke.1448000

即使已啟用節點自動升級功能，我們仍建議您手動升級叢集。

最近推出的發布管道功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

 高

GDC (VMware)

說明 嚴重性

Envoy 專案最近發布了幾項新的安全漏洞 (CVE-2024-53269、CVE-2024-53270 和 CVE-2024-53271)，攻擊者可藉此導致 Envoy 停止運作。

使用 Cloud Service Mesh 1.23.3-asm.3 版的 VMware 1.31、1.30 和 1.29 版 GDC 軟體會受到影響。

該怎麼辦？

下列版本的 VMware 專用 GDC 軟體已更新程式碼，可修正這個安全漏洞。建議您將管理員和使用者叢集升級至下列其中一個 GDC on VMware 軟體版本：

  • 1.31.200
  • 1.30.600
  • 1.29.1000
 高

GKE on AWS

說明 嚴重性

Envoy 專案最近發布了幾項新的安全漏洞 (CVE-2024-53269、CVE-2024-53270 和 CVE-2024-53271)，攻擊者可藉此導致 Envoy 停止運作。

GKE on AWS 不會隨附 Envoy，因此不受影響。

該怎麼辦？

您無須採取任何行動。

 無

GKE on Azure

說明 嚴重性

Envoy 專案最近發布了幾項新的安全漏洞 (CVE-2024-53269、CVE-2024-53270 和 CVE-2024-53271)，攻擊者可藉此導致 Envoy 停止運作。

GKE on Azure 不會隨附 Envoy，因此不受影響。

該怎麼辦？

您無須採取任何行動。

 無

GDC (裸機)

說明 嚴重性

Envoy 專案最近發布了幾項新的安全漏洞 (CVE-2024-53269、CVE-2024-53270 和 CVE-2024-53271)，攻擊者可藉此導致 Envoy 停止運作。

該怎麼辦？

下列裸機適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。建議您將叢集升級至下列其中一個裸機適用的 GDC 軟體版本：

  • 1.31.200-gke.59
  • 1.30.600-gke.69
  • 1.29.1100-gke.84
 高

GCP-2025-008

發布日期：2025 年 2 月 19 日
更新日期：2025 年 4 月 10 日
參考資料： CVE-2024-53141

2025 年 4 月 10 日更新： 新增適用於 VMware 的 GDC 軟體修補程式版本。

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-53141

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.16-gke.2296000
  • 1.28.15-gke.1673000
  • 1.29.13-gke.1038000
  • 1.30.9-gke.1009000
  • 1.31.5-gke.1023000
  • 1.32.1-gke.1729000

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.27.16-gke.2342000
  • 1.28.15-gke.1720000
  • 1.29.13-gke.1109000
  • 1.30.9-gke.1127000
  • 1.31.5-gke.1169000
  • 1.32.1-gke.1729000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2025 年 4 月 10 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-53141

該怎麼辦？

2025 年 4 月 10 日更新： 下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本以上：

  • 1.31.200-gke.58
  • 1.30.600-gke.68
  • 1.29.1100-gke.82

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-53141

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-53141

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-53141

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-006

發布日期：2025-01-23
參考資料：不適用

GKE

說明 嚴重性

我們在 Google Secret Manager Provider for Secret Store CSI Driver 中發現安全性問題，如要利用這項安全漏洞，攻擊者必須能夠執行下列操作：

  1. 在執行 CSI 驅動程式的節點上建立 Pod。
  2. 在與這些 Pod 相同的命名空間中建立密鑰。
  3. 在 Pod 上掛接 Secrets Store CSI 磁碟區，並設定 nodePublishSecretRef 選項。
  4. 在 Secret 中提供惡意的應用程式預設憑證設定。
  5. 在磁碟區掛接的 nodePublishSecretRef 選項中參照 Secret。

按照這些步驟操作，攻擊者就能誘騙 CSI 驅動程式，將 CSI 驅動程式的 Kubernetes 服務帳戶權杖洩漏至攻擊者控管的網址。

您可透過兩種方式，將 Secret Manager Provider 與 GKE 叢集搭配使用。GKE 專用的 Secret Manager 外掛程式是 GKE 叢集提供的受管理功能。或者，GKE 使用者可以在 GKE 叢集上安裝開放原始碼的 Google Secret Manager Provider for Secret Store CSI Driver。在這兩種情況下，供應商都會允許 Kubernetes Pod 存取儲存在 Google Cloud Secret Manager 中的密鑰，並將這些密鑰掛接至 Pod 做為磁碟區中的檔案。

受管理 GKE Secret Manager 外掛程式和開放原始碼 Secret Manager Provider 的修正程式都會停用 nodePublishSecretRef，以避免發生這個問題。經判斷，這不會影響 GKE Secret Manager 外掛程式的現有用途。如果 GKE 叢集使用開放原始碼 Secret Manager Provider，且具有 nodePublishSecretRef，則可能會受到影響，但這類叢集數量極少。開放原始碼修補程式可讓您視需要透過 ALLOW_NODE_PUBLISH_SECRET 環境變數重新啟用 nodePublishSecretRef 功能。

該怎麼辦？

視 GKE 叢集使用 Secret Manager Provider 的方式，採取下列任一做法：

代管 GKE Secret Manager 外掛程式

如果您使用代管 GKE 外掛程式，請將 GKE 叢集升級至修補版本。下列 GKE 版本已更新程式碼，可修正這個安全漏洞。將節點集區升級至下列版本或更新版本：

  • 1.27.16-gke.2051000
  • 1.28.15-gke.1362000
  • 1.29.11-gke.1012000
  • 1.30.6-gke.1596000
  • 1.31.1-gke.1846000

如要盡快取得修正程式，建議您手動升級叢集和標準節點集區，改用已修補的 GKE 版本。透過 GKE 發布版本，您可以在新版本成為所選發布版本的自動升級目標前，先進行修補。

開放原始碼 Secret Manager Provider

如果您使用開放原始碼的 Secret Manager 提供者，請升級至 1.7.0.。如果您使用 Helm Chart，最新版本已參照 1.7.0。如果您直接根據 deploy/provider-gcp-plugin.yaml 檔案安裝，請注意該檔案中的映像檔也已更新。

中

GDC (VMware)

說明 嚴重性

Google Secret Manager Provider for Secret Store CSI Driver 存在安全漏洞，攻擊者只要在命名空間中擁有 Pod 和密鑰建立權限，就能在 Pod 上掛接惡意磁碟區，藉此竊取 CSI 驅動程式的 Kubernetes 服務帳戶權杖。

該怎麼辦？

如果您手動安裝開放原始碼 Secret Manager Provider，可能會受到影響。請參閱「GKE」分頁中的開放原始碼 Secret Manager Provider 相關操作說明。

GDC (VMware) 叢集不會受到影響，因為這類叢集不提供受管理的外掛程式，因此您不必採取其他行動。

 中

GKE on AWS

說明 嚴重性

Google Secret Manager Provider for Secret Store CSI Driver 的漏洞，可讓在命名空間中擁有 Pod 和密鑰建立權限的攻擊者，透過在 Pod 上掛接惡意磁碟區，外洩 CSI 驅動程式的 Kubernetes 服務帳戶權杖。

該怎麼辦？

如果您手動安裝開放原始碼 Secret Manager Provider，可能會受到影響。請參閱「GKE」分頁中的開放原始碼 Secret Manager Provider 相關操作說明。

GKE on AWS 叢集不會受到影響，因為這類叢集不提供代管外掛程式，因此不需要採取任何行動。

 中

GKE on Azure

說明 嚴重性

Google Secret Manager Provider for Secret Store CSI Driver 存在安全漏洞，攻擊者只要在命名空間中擁有 Pod 和密鑰建立權限，就能在 Pod 上掛接惡意磁碟區，藉此竊取 CSI 驅動程式的 Kubernetes 服務帳戶權杖。

該怎麼辦？

如果您手動安裝開放原始碼 Secret Manager Provider，可能會受到影響。請參閱「GKE」分頁中的開放原始碼 Secret Manager Provider 相關操作說明。

Azure 上的 GKE 叢集不會受到影響，因為這類叢集不提供受管理的外掛程式，因此您不必採取其他行動。

 中

GDC (裸機)

說明 嚴重性

Google Secret Manager Provider for Secret Store CSI Driver 存在安全漏洞，攻擊者只要在命名空間中擁有 Pod 和密鑰建立權限，就能在 Pod 上掛接惡意磁碟區，藉此竊取 CSI 驅動程式的 Kubernetes 服務帳戶權杖。

該怎麼辦？

如果您手動安裝開放原始碼 Secret Manager Provider，可能會受到影響。請參閱「GKE」分頁中的開放原始碼 Secret Manager Provider 相關操作說明。

GDC (Bare Metal) 叢集不受影響，因為這類叢集不提供受管理的外掛程式，因此不需要採取進一步行動。

 中

GCP-2025-003

發布日期：2025-01-09
更新日期：2025-01-23
參考資料： CVE-2024-50264

2025 年 1 月 23 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

GKE

更新日期： 2025 年 1 月 23 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-50264

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2025 年 1 月 23 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列任一版本或更新版本：

  • 1.27.16-gke.2270000
  • 1.28.15-gke.1641000
  • 1.29.13-gke.1006000
  • 1.30.8-gke.1282000
  • 1.31.5-gke.1023000
  • 1.32.1-gke.1002000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.16-gke.2081000
  • 1.28.15-gke.1480000
  • 1.29.12-gke.1055000
  • 1.30.8-gke.1051000
  • 1.31.4-gke.1072000
  • 1.32.0-gke.1448000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-50264

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-50264

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-50264

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-50264

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-002

發布日期：2025-01-09
更新日期：2025-01-23
參考資料： CVE-2024-53057

2025 年 1 月 23 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2025 年 1 月 22 日更新： 新增 GDC (VMware) 的修補程式版本。將 GDC (VMware) 嚴重程度從「待處理」更新為「中」。

GKE

更新日期： 2025 年 1 月 23 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-53057

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2025 年 1 月 23 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列任一版本或更新版本：

  • 1.27.16-gke.2270000
  • 1.28.15-gke.1641000
  • 1.29.13-gke.1006000
  • 1.30.8-gke.1282000
  • 1.31.5-gke.1023000
  • 1.32.1-gke.1002000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.16-gke.1836000
  • 1.28.15-gke.1342000
  • 1.29.11-gke.1012000
  • 1.30.7-gke.1077000
  • 1.31.3-gke.1056000
  • 1.32.0-gke.1448000

如果叢集在自己的發布版本中執行相同的子版本，您就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新時間： 2025 年 1 月 22 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-53057

該怎麼辦？

2025 年 1 月 22 日更新：下列版本的 GDC (VMware) 已更新程式碼，修正這個安全漏洞。 將 GDC (VMware) 叢集升級至下列版本或更新版本：

  • 1.29.900-gke.181
  • 1.31.0-gke.889
  • 1.30.400-gke.133

 中

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-53057

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-53057

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-53057

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2025-001

發布日期：2025-01-08
更新日期：2025-01-23
參考資料：不適用

2025 年 1 月 23 日更新：更新 GKE 分頁中的「受影響的資源」一節。

2025 年 1 月 8 日更新： 修正問題的開始日期和時間。

GKE

更新日期： 2025 年 1 月 23 日

說明 嚴重性

2025 年 1 月 23 日更新：更新「受影響的資源」一節。

2025 年 1 月 8 日更新：問題實際發生時間為 2024 年 12 月 4 日 22:47 (世界標準時間)。

2024 年 12 月 8 日 13:44 (世界標準時間) 發生安全性問題，並於 2025 年 1 月 4 日 04:00 (世界標準時間) 解決。這個安全性問題會影響已設定 GKE 多叢集閘道 (MCG) 的 VPC 資源。MCG 是選用功能，只有少數 GKE 客戶會使用。我們已個別通知在該期間啟用這項功能的客戶。

多叢集閘道 (MCG) 是 GKE 功能，可讓客戶在多個叢集之間進行流量負載平衡。如要執行這項功能，MCG 必須變更專案層級的 Google Cloud 防火牆。MCG 發生錯誤，導致系統建立輸入防火牆規則，允許 TCP 流量傳送到 VPC 內的所有 IP (0.0.0.0/0) 和通訊埠。我們已採取措施，避免日後發生這類錯誤。

由於防火牆是虛擬私有雲層級的允許清單，因此在該時間範圍內，下列類型的資源可能可透過網路連線：

  • 透過公開 IP 存取在 GKE 工作人員節點上執行的客戶應用程式。
  • 在具有公用 IP 的 Compute Engine 虛擬機器 (VM) 上執行的客戶應用程式。
  • 與叢集位於相同虛擬私有雲，且具有公開 IP 和接聽埠的任何其他 Google Cloud 資源。

GKE 工作節點、Compute Engine VM 和其他僅使用私人 IP 的資源，可能在 VPC 內更廣泛地可供存取，但無法存取網際網路。如果應用程式受到下列機制保護，就能降低或消除風險：

  • 優先順序相同或較高的防火牆規則 (MCG 預設會將防火牆規則優先順序設為 1000)DENY
  • 使用以身分為基礎的授權機制，建立服務網格
  • 應用程式層級授權

受影響的資源

2025 年 1 月 23 日更新：在共用虛擬私有雲服務專案中使用 MCG 的 GKE 叢集 (或中心) 不會受到這個問題影響，因為防火牆規則不是從共用虛擬私有雲服務專案管理。

凡是位於已設定 GKE MCG 且監聽公開 IP 的 VPC 中的資源，都會受到影響。受影響的資源包括但不限於在 GKE 工作站節點上執行的應用程式。

該怎麼辦？

我們已修正錯誤的防火牆設定，解決所有受影響 VPC 的問題。系統已自動修改錯誤建立的規則，並加入適當的來源範圍 (130.211.0.0/22、35.191.0.0/16)，允許來自 Google Cloud 健康狀態檢查基礎架構的輸入流量，以及 (選用) 內部閘道的僅限 Proxy 子網路範圍。如要進一步瞭解 MCG 在專案中自動建立的防火牆規則，請參閱 GKE Gateway 防火牆規則。

您也可以選擇使用 GKE MCG 檢查 VPC 上受管理的防火牆規則，確認問題是否已解決。確認使用 gkemcg1-l7- 前置字元的受管理防火牆規則已設定來源範圍。檢查這些規則，並確認已設定來源範圍。

如要列出目前環境中的 MCG 管理防火牆規則，請執行下列指令：

gcloud compute firewall-rules list --format="json" --filter="name:gkemcg1-l7-*" | jq -r '.[] | "\(.name): \(.sourceRanges // "No source range")"' | awk -F: '{if ($2 ~ /No source range|^\s*$/) print "Rule "$1" has an EMPTY or MISSING source range."; else print "Rule "$1" has source range(s): "$2;}'

如要搜尋 MCG 管理的防火牆設定更新記錄，請使用記錄檔探索工具執行下列查詢：

protoPayload.serviceName="compute.googleapis.com"
          resource.type="gce_firewall_rule"
          protoPayload.resourceName=~"projects/[^/]+/global/firewalls/gkemcg1-"
          -operation.last="true"

如要列出整個機構的 MCG 管理防火牆規則，請執行下列指令來查詢 Cloud Asset Inventory：

gcloud asset search-all-resources
          --scope='organizations/'
          --asset-types='compute.googleapis.com/Firewall'
          --query 'name: //compute.googleapis.com/projects/*/*/firewalls/gkemcg*'

下列額外控制項可提供縱深防禦機制，防範不受信任的網路，建議您考慮採用這些控制項，進一步提升安全防護能力：

建議您檢查設定和記錄，找出在上述時間範圍內可能暴露的應用程式或服務，並確認這些應用程式或服務不應暴露。您可以使用下列工具，檢查在 Google Cloud中執行的資源的連入流量：

 高

GDC (VMware)

說明 嚴重性

我們發現安全問題，會影響多叢集閘道 (MCG)。這項 GKE 功能可讓客戶在多個叢集之間進行流量負載平衡。

GDC (VMware) 叢集不支援 MCG，因此不受影響。

該怎麼辦？

您無需採取任何動作。

 無

GKE on AWS

說明 嚴重性

我們發現安全問題，會影響多叢集閘道 (MCG)。這項 GKE 功能可讓客戶在多個叢集之間進行流量負載平衡。

AWS 上的 GKE 叢集不支援 MCG，因此不受影響。

該怎麼辦？

您無需採取任何動作。

 無

GKE on Azure

說明 嚴重性

我們發現安全問題，會影響多叢集閘道 (MCG)。這項 GKE 功能可讓客戶在多個叢集之間進行流量負載平衡。

Azure 上的 GKE 叢集不支援 MCG，因此不受影響。

該怎麼辦？

您無需採取任何動作。

 無

GDC (裸機)

說明 嚴重性

我們發現安全問題，會影響多叢集閘道 (MCG)。這項 GKE 功能可讓客戶在多個叢集之間進行流量負載平衡。

GDC (Bare Metal) 叢集不支援 MCG，因此不受影響。

該怎麼辦？

您無需採取任何動作。

 無

GCP-2024-062

發布日期：2024 年 12 月 2 日
更新日期：2025 年 1 月 22 日
參考資料： CVE-2024-46800

2025 年 1 月 22 日更新： 新增 GDC (VMware) 的修補程式版本。將 GDC (VMware) 的嚴重程度從「待處理」更新為「高」。

2024 年 12 月 12 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

GKE

更新日期： 2024 年 12 月 12 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-46800

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 12 月 12 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.28.15-gke.1342000
  • 1.29.10-gke.1280000
  • 1.30.6-gke.1596000
  • 1.31.3-gke.1023000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.16-gke.1576000
  • 1.28.14-gke.1217000
  • 1.29.9-gke.1496000
  • 1.30.5-gke.1355000
  • 1.31.1-gke.1678000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新時間： 2025 年 1 月 22 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-46800

該怎麼辦？

2025 年 1 月 22 日更新：下列版本的 GDC (VMware) 已更新程式碼，修正這個安全漏洞。 將 GDC (VMware) 叢集升級至下列版本或更新版本：

  • 1.29.900-gke.181
  • 1.31.0-gke.889
  • 1.30.400-gke.133

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-46800

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-46800

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-46800

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2024-061

發布日期：2024 年 11 月 25 日
參考資料：CVE-2024-10220

GKE

說明 嚴重性

Kubernetes 叢集中發現的安全問題可能會導致使用 gitRepo 磁碟區執行遠端程式碼。如果 Git 存放區遭到惡意建構，有權建立 Pod 並關聯 gitRepo 磁碟區的使用者，就能在容器邊界外執行任意指令。

該怎麼辦？

將 GKE 叢集和節點集區升級至修補版本。下列 GKE 版本已更新，可修正這項安全漏洞：

  • 1.27.16-gke.1008000
  • 1.28.12-gke.1052000
  • 1.29.7-gke.1008000
  • 1.30.3-gke.1225000
  • 1.31.0-gke.1058000

為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和節點集區，將 GKE 版本更新至修補版本。透過 GKE 發布版本，您不必取消訂閱或變更發布版本，即可套用修補程式。這樣一來，新版本在所選發布管道中成為預設版本前，您就能保護叢集和節點。

這個修補程式修正了哪些安全漏洞？

CVE-2024-10220 允許攻擊者建立 Pod 並關聯 gitRepo 磁碟區，在容器邊界外執行任意指令。

 高

GDC (VMware)

說明 嚴重性

Kubernetes 叢集中發現的安全問題可能會導致使用 gitRepo 磁碟區執行遠端程式碼。如果 Git 存放區遭到惡意建構，有權建立 Pod 並關聯 gitRepo 磁碟區的使用者，就能在容器邊界外執行任意指令。

該怎麼辦？

 高

GKE on AWS

說明 嚴重性

Kubernetes 叢集中發現的安全問題可能會導致使用 gitRepo 磁碟區執行遠端程式碼。如果 Git 存放區遭到惡意建構，有權建立 Pod 並關聯 gitRepo 磁碟區的使用者，就能在容器邊界外執行任意指令。

該怎麼辦？

 高

GKE on Azure

說明 嚴重性

Kubernetes 叢集中發現的安全問題可能會導致使用 gitRepo 磁碟區執行遠端程式碼。如果 Git 存放區遭到惡意建構，有權建立 Pod 並關聯 gitRepo 磁碟區的使用者，就能在容器邊界外執行任意指令。

該怎麼辦？

 高

GDC (裸機)

說明 嚴重性

Kubernetes 叢集中發現的安全問題可能會導致使用 gitRepo 磁碟區執行遠端程式碼。如果 Git 存放區遭到惡意建構，有權建立 Pod 並關聯 gitRepo 磁碟區的使用者，就能在容器邊界外執行任意指令。

該怎麼辦？

 高

GCP-2024-057

發布日期：2024-10-03
更新日期：2024-11-19
參考資料： CVE-2024-45016

2024 年 11 月 19 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2024 年 10 月 15 日更新： 新增 GDC (VMware) 的修補程式版本。已將 GDC (VMware) 嚴重程度從「待處理」更新為「中等」。將 GKE 嚴重程度從「高」更新為「中」。

GKE

更新日期： 2024 年 11 月 19 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-45016

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 11 月 19 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.27.16-gke.1784000
  • 1.28.15-gke.1080000
  • 1.29.10-gke.1155000
  • 1.30.6-gke.1059000
  • 1.31.2-gke.1354000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.16-gke.1478000
  • 1.28.14-gke.1099000
  • 1.29.9-gke.1177000
  • 1.30.5-gke.1145000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 中

GDC (VMware)

更新日期： 2024 年 10 月 15 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-45016

該怎麼辦？

2024 年 10 月 15 日更新：下列版本的 GDC (VMware) 已更新程式碼，修正這個安全漏洞。將 GDC (VMware) 叢集升級至下列版本或更新版本：

  • 1.30.100-gke.96
  • 1.29.600-gke.109
  • 1.28.1000-gke.59

 中

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-45016

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-45016

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-45016

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2024-056

發布日期：2024 年 9 月 27 日
參考資料：CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177

GKE

說明 嚴重性

在某些 Linux 發行版使用的 CUPS 列印系統中，發現可能導致遠端程式碼執行的漏洞鏈 (CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177)。如果 CUPS 服務監聽 UDP 連接埠 631，且攻擊者可以連線至該服務，就能利用這個漏洞。

GKE 不會使用 CUPS 列印系統，因此不受影響。

該怎麼辦？

您不必採取任何動作

 無

GDC (VMware)

說明 嚴重性

在某些 Linux 發行版使用的 CUPS 列印系統中，發現可能導致遠端程式碼執行的漏洞鏈 (CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177)。如果 CUPS 服務監聽 UDP 連接埠 631，且攻擊者可以連線至該連接埠，就能利用這個漏洞。

VMware 適用的 GDC 軟體不會使用 CUPS 列印系統，因此不受影響。

該怎麼辦？

您不必採取任何動作

 無

GKE on AWS

說明 嚴重性

在某些 Linux 發行版使用的 CUPS 列印系統中，發現一連串可能導致遠端程式碼執行的安全漏洞 (CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177)。如果 CUPS 服務監聽 UDP 連接埠 631，且攻擊者可以連線至該連接埠，就能利用這個漏洞。

GKE on AWS 不會使用 CUPS 列印系統，因此不受影響。

該怎麼辦？

您不必採取任何動作

 無

GKE on Azure

說明 嚴重性

在某些 Linux 發行版使用的 CUPS 列印系統中，發現一連串可能導致遠端程式碼執行的安全漏洞 (CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177)。如果 CUPS 服務監聽 UDP 連接埠 631，且攻擊者可以連線至該連接埠，就能利用這個漏洞。

GKE on Azure 不會使用 CUPS 列印系統，因此不受影響。

該怎麼辦？

您不必採取任何動作

 無

GDC (裸機)

說明 嚴重性

在某些 Linux 發行版使用的 CUPS 列印系統中，發現一連串可能導致遠端程式碼執行的安全漏洞 (CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177)。如果 CUPS 服務監聽 UDP 連接埠 631，且攻擊者可以連線至該連接埠，就能利用這個漏洞。

裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

該怎麼辦？

您不必採取任何動作

 無

GCP-2024-054

發布日期：2024 年 9 月 23 日
參考資料：CVE-2024-5321

GKE

說明 嚴重性

我們在 Kubernetes 叢集中發現安全問題，如果叢集含有 Windows 節點，BUILTIN\Users可能可以讀取容器記錄，AUTHORITY\Authenticated使用者可能可以修改容器記錄。

凡是含有 Windows 節點的 Kubernetes 環境都會受到影響。執行 kubectl get nodes -l kubernetes.io/os=windows，查看是否有任何 Windows 節點正在使用中。

受影響的 GKE 版本

  • 1.27.15 以下版本
  • 1.28.11 以下版本
  • 1.29.6 以下版本
  • 1.30.2 以下版本

該怎麼辦？

下列 GKE 版本已更新，可修正這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和節點集區至下列 GKE 版本或更新版本：

  • 1.27.16-gke.1008000
  • 1.28.12-gke.1052000
  • 1.29.7-gke.1008000
  • 1.30.3-gke.1225000

如果叢集在自己的發布版本中執行相同的子版本，您就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

這個修補程式修正了哪些安全漏洞？

CVE-2024-5321

 中

GDC (VMware)

說明 嚴重性

我們發現 Kubernetes 叢集 (含 Windows 節點) 有安全問題，BUILTIN\Users可能可以讀取容器記錄，AUTHORITY\Authenticated使用者可能可以修改容器記錄。

凡是含有 Windows 節點的 Kubernetes 環境都會受到影響。執行 kubectl get nodes -l kubernetes.io/os=windows，查看是否有任何 Windows 節點正在使用中。

該怎麼辦？

適用於 VMware 的 GDC 軟體修補程式版本正在開發中。我們會在相關資訊發布後更新這份公告。

這個修補程式修正了哪些安全漏洞？

CVE-2024-5321

 中

GKE on AWS

說明 嚴重性

我們發現 Kubernetes 叢集 (含 Windows 節點) 有安全問題，BUILTIN\Users可能可以讀取容器記錄，AUTHORITY\Authenticated使用者可能可以修改容器記錄。

GKE on AWS 叢集不支援 Windows 節點，因此不受影響。

該怎麼辦？

您不必採取任何動作

 無

GKE on Azure

說明 嚴重性

我們發現 Kubernetes 叢集 (含 Windows 節點) 有安全問題，BUILTIN\Users可能可以讀取容器記錄，AUTHORITY\Authenticated使用者可能可以修改容器記錄。

Azure 上的 GKE 叢集不支援 Windows 節點，因此不受影響。

該怎麼辦？

您不必採取任何動作

 無

GDC (裸機)

說明 嚴重性

我們發現 Kubernetes 叢集 (含 Windows 節點) 有安全問題，BUILTIN\Users可能可以讀取容器記錄，AUTHORITY\Authenticated使用者可能可以修改容器記錄。

裸機叢集的 GDC 軟體不支援 Windows 節點，因此不受影響。

該怎麼辦？

您不必採取任何動作

 無

GCP-2024-050

發布日期：2024 年 9 月 4 日
參考資料：CVE-2024-38063

GKE

說明 嚴重性

Windows 中發現新的遠端程式碼執行安全漏洞 (CVE-2024-38063)。 攻擊者可將特製的 IPv6 封包傳送至主機，從遠端利用這個漏洞。

該怎麼辦？

GKE 不支援 Windows 上的 IPv6，因此不受這項 CVE 影響。您無須採取任何行動。

無

GDC (VMware)

說明 嚴重性

Windows 中發現新的遠端程式碼執行安全漏洞 (CVE-2024-38063)。 攻擊者可以傳送特製的 IPv6 封包給主機，從遠端利用這個漏洞。

該怎麼辦？

VMware 適用的 GDC 軟體不支援 Windows 上的 IPv6，因此不受這個 CVE 影響。您無須採取任何行動。

 無

GKE on AWS

說明 嚴重性

Windows 中發現新的遠端程式碼執行安全漏洞 (CVE-2024-38063)。 攻擊者可以傳送特製的 IPv6 封包給主機，從遠端利用這個漏洞。

該怎麼辦？

GKE on AWS 不受這項 CVE 影響。您無須採取任何行動。

無

GKE on Azure

說明 嚴重性

Windows 中發現新的遠端程式碼執行安全漏洞 (CVE-2024-38063)。 攻擊者可以傳送特製的 IPv6 封包給主機，從遠端利用這個漏洞。

該怎麼辦？

Azure 上的 GKE 不受這項 CVE 影響。您無須採取任何行動。

 無

GDC (裸機)

說明 嚴重性

Windows 中發現新的遠端程式碼執行安全漏洞 (CVE-2024-38063)。 攻擊者可以傳送特製的 IPv6 封包給主機，從遠端利用這個漏洞。

該怎麼辦？

GDC (裸機) 不會受到這項 CVE 影響。您無須採取任何行動。

無

GCP-2024-049

發布日期：2024-08-21
更新日期：2024-11-01
參考資料： CVE-2024-36978

2024 年 11 月 1 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2024 年 10 月 21 日更新： 新增修補程式版本，並更新 GDC (VMware) 的嚴重程度。

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-36978

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 11 月 1 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.27.16-gke.1576000
  • 1.28.14-gke.1175000
  • 1.29.9-gke.1341000
  • 1.30.5-gke.1355000
  • 1.31.1-gke.1678000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.16-gke.1008000
  • 1.28.12-gke.1052000
  • 1.29.7-gke.1008000
  • 1.30.3-gke.1225000
  • 1.31.0-gke.1058000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2024 年 10 月 21 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-36978

該怎麼辦？

2024 年 10 月 21 日更新：下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本或更新版本：

  • 1.28.1100-gke.91
  • 1.30.200-gke.101
  • 1.29.600-gke.109

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-36978

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-36978

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-36978

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2024-048

發布日期：2024-08-20
更新日期：2024-10-30
參考資料： CVE-2024-41009

2024 年 10 月 30 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2024 年 10 月 25 日更新： 新增修補程式版本，並更新 GDC (VMware) 的嚴重程度。

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-41009

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 10 月 30 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.27.16-gke.1576000
  • 1.28.14-gke.1175000
  • 1.29.9-gke.1341000
  • 1.30.5-gke.1355000
  • 1.31.1-gke.1678000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.16-gke.1008000
  • 1.28.12-gke.1052000
  • 1.29.7-gke.1008000
  • 1.30.3-gke.1225000
  • 1.31.0-gke.1058000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2024 年 10 月 25 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-41009

該怎麼辦？

2024 年 10 月 25 日更新：下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本或更新版本：

  • 1.29.700-gke.110
  • 1.28.1100-gke.91
  • 1.30.200-gke.101

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-41009

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-41009

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-41009

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2024-047

發布日期：2024-08-19
更新日期：2024-10-30
參考資料： CVE-2024-39503

2024 年 10 月 30 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2024 年 10 月 21 日更新： 新增修補程式版本，並更新 GDC (VMware) 的嚴重程度。

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-39503

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 10 月 30 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.27.16-gke.1576000
  • 1.28.14-gke.1175000
  • 1.29.9-gke.1341000
  • 1.30.5-gke.1355000
  • 1.31.1-gke.1678000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.15-gke.1125000
  • 1.28.11-gke.1170000
  • 1.29.6-gke.1137000
  • 1.30.3-gke.1225000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2024 年 10 月 21 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-39503

該怎麼辦？

2024 年 10 月 21 日更新：下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本或更新版本：

  • 1.30.200-gke.101
  • 1.29.600-gke.109
  • 1.28.1100-gke.91

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-39503

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-39503

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-39503

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2024-045

發布日期：2024-07-17
更新日期：2024-09-19
參考資料： CVE-2024-26925

2024 年 9 月 19 日更新： 新增 GDC (VMware) 的修補程式版本。

2024 年 8 月 21 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

GKE

更新日期： 2024 年 8 月 21 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26925

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 8 月 21 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.27.16-gke.1051000
  • 1.28.12-gke.1052000
  • 1.29.7-gke.1174000
  • 1.30.3-gke.1225000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.14-gke.1093000
  • 1.28.10-gke.1141000
  • 1.29.5-gke.1192000
  • 1.30.2-gke.1394000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2024 年 9 月 19 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26925

該怎麼辦？

2024 年 9 月 19 日更新：下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本或更新版本：

  • 1.29.400
  • 1.28.900

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26925

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26925

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26925

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2024-044

發布日期：2024-07-16
更新日期：2024-10-30
參考資料： CVE-2024-36972

2024 年 10 月 30 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2024 年 10 月 21 日更新： 新增修補程式版本，並更新 GDC (VMware) 的嚴重程度。

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-36972

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 10 月 30 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.27.16-gke.1576000
  • 1.28.14-gke.1175000
  • 1.29.9-gke.1341000
  • 1.30.5-gke.1355000
  • 1.31.1-gke.1678000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.14-gke.1093000
  • 1.28.10-gke.1141000
  • 1.29.5-gke.1192000
  • 1.30.2-gke.1394000

如果叢集在自己的發布版本中執行相同的子版本，您就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2024 年 10 月 21 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-36972

該怎麼辦？

2024 年 10 月 21 日更新：下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本或更新版本：

  • 1.30.200-gke.101
  • 1.29.600-gke.109
  • 1.28.1100-gke.91

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-36972

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-36972

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-36972

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2024-043

發布日期：2024-07-16
更新日期：2024-10-02
參考資料： CVE-2024-26921

2024 年 10 月 2 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2024 年 9 月 20 日更新： 新增 GDC (VMware) 的修補程式版本。

GKE

更新時間： 2024 年 10 月 2 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26921

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 10 月 2 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.27.16-gke.1287000
  • 1.28.13-gke.1042000
  • 1.29.8-gke.1096000
  • 1.30.4-gke.1476000
  • 1.30.4-gke.1476000
  • 1.31.0-gke.1577000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.26.15-gke.1360000
  • 1.27.14-gke.1022000
  • 1.28.9-gke.1209000
  • 1.29.4-gke.1542000
  • 1.30.2-gke.1394000

如果叢集在自己的發布版本中執行相同的子版本，您就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2024 年 9 月 20 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26921

該怎麼辦？

2024 年 9 月 20 日更新：下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本或更新版本：

  • 1.30.200
  • 1.29.500
  • 1.28.1000

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26921

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26921

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26921

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2024-042

發布日期：2024-07-15
更新日期：2024-07-18
參考資料： CVE-2024-26809

2024 年 7 月 18 日更新： 釐清預設設定的 Autopilot 叢集不受影響。

GKE

更新日期： 2024 年 7 月 18 日

說明 嚴重性

2024 年 7 月 18 日更新： 本公告的原始版本誤稱 Autopilot 叢集受到影響。預設設定的 Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN 功能，叢集可能會受到影響。

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26809

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.13-gke.1166000
  • 1.28.9-gke.1209000
  • 1.29.4-gke.1542000

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.26.15-gke.1469000
  • 1.27.14-gke.1100000
  • 1.28.10-gke.1148000
  • 1.29.6-gke.1038000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26809

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26809

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26809

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26809

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2024-041

發布日期：2024 年 7 月 8 日
更新日期：2024 年 9 月 16 日
參考資料： CVE-2023-52654、CVE-2023-52656

2024 年 9 月 16 日更新： 新增 GDC (VMware) 的修補程式版本。

2024 年 7 月 19 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

GKE

更新日期： 2024 年 7 月 19 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-52654
  • CVE-2023-52656

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 7 月 19 日更新： 下列 GKE 版本包含修正 Ubuntu 上這個安全漏洞的程式碼。升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.26.15-gke.1469000
  • 1.27.14-gke.1100000
  • 1.28.10-gke.1148000
  • 1.29.6-gke.1038000
  • 1.30.2-gke.1394000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.26.15-gke.1300000
  • 1.27.13-gke.1166000
  • 1.28.9-gke.1209000
  • 1.29.4-gke.1542000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新時間： 2024 年 9 月 16 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-52654
  • CVE-2023-52656

該怎麼辦？

2024 年 9 月 16 日更新：下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本或更新版本：

  • 1.29.200
  • 1.28.700
  • 1.16.11

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-52654
  • CVE-2023-52656

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-52654
  • CVE-2023-52656

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-52654
  • CVE-2023-52656

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2024-040

發布日期：2024-07-01
更新日期：2024-07-11
參考資料： CVE-2024-6387

2024 年 7 月 11 日更新： 新增適用於 VMware 的 GDC 軟體、GKE on AWS 和 GKE on Azure 的修補程式版本。

2024 年 7 月 3 日更新： 新增 GKE 的修補程式版本

2024 年 7 月 2 日更新：

  • 明確指出 Autopilot 叢集會受到影響，且需要使用者採取行動。
  • 新增 GDC (VMware)、GKE on AWS 和 GKE on Azure 的影響評估和緩解步驟。
  • 修正 GDC (裸機) 安全性公告，澄清 GDC (裸機) 不會直接受到影響，並建議客戶向 OS 供應商索取修補程式。

GKE

更新日期： 2024 年 7 月 3 日

說明 嚴重性

2024 年 7 月 3 日更新： 我們正在加快推出速度，預計在 2024 年 7 月 3 日下午 5 點 (美國和加拿大太平洋夏令時間，即 UTC-7) 前，所有區域都能使用新修補程式版本。如要針對特定叢集，在修補程式發布後立即收到通知，請使用叢集通知。

2024 年 7 月 2 日更新： 這項安全漏洞會影響 Autopilot 模式和 Standard 模式叢集。以下各節會說明該節適用的模式。

最近在 OpenSSH 中發現遠端程式碼執行安全漏洞 CVE-2024-6387。這項安全漏洞會利用競爭條件取得遠端殼層的存取權，讓攻擊者取得 GKE 節點的 Root 存取權。發布時，我們認為利用這項弱點相當困難，且每部受攻擊的機器都需要數小時。我們並未發現任何利用此漏洞的嘗試。

GKE 上所有支援的 Container Optimized OS 和 Ubuntu 映像檔版本，執行的 OpenSSH 版本都容易受到這個問題影響。

如果 GKE 叢集具有公開節點 IP 位址，且 SSH 連線公開至網際網路，應優先採取緩解措施。

GKE 控制層不會受到這個問題影響。

該怎麼辦？

2024 年 7 月 3 日更新：GKE 的修補程式版本

我們正在加快推出新修補程式版本的速度，預計在 2024 年 7 月 3 日下午 5 點 (美國和加拿大太平洋日光時間，UTC-7) 前，所有區域都能使用新版本。

啟用自動升級功能的叢集和節點會在當週開始升級，但由於這個安全漏洞較為嚴重，建議您按照下列步驟手動升級，盡快取得修補程式。

無論是 Autopilot 或 Standard 叢集，請升級控制層至修補版本。此外，如果是 Standard 模式叢集，請將節點集區升級至修補版本。Autopilot 叢集會盡快開始升級節點，與控制層版本保持一致。

每個支援版本都有修補程式 GKE 版本，可盡量減少套用修補程式所需的變更。每個新版本的版本編號，都是在對應現有版本的版本編號最後一位數字上遞增。 舉例來說，如果目前使用的是 1.27.14-gke.1100000，您會升級至 1.27.14-gke.1100002，以盡可能小的變更取得修正程式。以下是可用的 GKE 修補版本：

  • 1.26.15-gke.1090004
  • 1.26.15-gke.1191001
  • 1.26.15-gke.1300001
  • 1.26.15-gke.1320002
  • 1.26.15-gke.1381001
  • 1.26.15-gke.1390001
  • 1.26.15-gke.1404002
  • 1.26.15-gke.1469001
  • 1.27.13-gke.1070002
  • 1.27.13-gke.1166001
  • 1.27.13-gke.1201002
  • 1.27.14-gke.1022001
  • 1.27.14-gke.1042001
  • 1.27.14-gke.1059002
  • 1.27.14-gke.1100002
  • 1.27.15-gke.1012003
  • 1.28.9-gke.1069002
  • 1.28.9-gke.1209001
  • 1.28.9-gke.1289002
  • 1.28.10-gke.1058001
  • 1.28.10-gke.1075001
  • 1.28.10-gke.1089002
  • 1.28.10-gke.1148001
  • 1.28.11-gke.1019001
  • 1.29.4-gke.1043004
  • 1.29.5-gke.1060001
  • 1.29.5-gke.1091002
  • 1.29.6-gke.1038001
  • 1.30.1-gke.1329003
  • 1.30.2-gke.1023004

如要檢查叢集區域或地區是否有修補程式，請執行下列指令：

gcloud container get-server-config --location=LOCATION

將 LOCATION 替換為您的區域。

2024 年 7 月 2 日更新： 修補程式版本發布後，請盡快升級 Autopilot 模式和 Standard 模式叢集。

我們將盡快提供包含更新版 OpenSSH 的 GKE 修補版本。我們會在修補程式發布後更新這則公告。 如要在管道有修補程式時收到 Pub/Sub 通知，請啟用叢集通知。建議您完成下列步驟，檢查叢集的曝險程度，並視需要套用所述的緩解措施。

判斷節點是否具有公開 IP 位址

2024 年 7 月 2 日更新： 本節適用於 Autopilot 和 Standard 叢集。

如果叢集是使用 enable-private-nodes 建立，節點就會是私有節點，可避免曝露在網際網路上，進而降低安全漏洞風險。執行下列指令，判斷叢集是否已啟用私人節點： 

gcloud container clusters describe $CLUSTER_NAME \
--format="value(privateClusterConfig.enablePrivateNodes)"

如果傳回值為 True，表示這個叢集的所有節點都是私有節點，因此可降低安全漏洞風險。如果值為空白或 false，請繼續套用下列章節中的其中一項緩解措施。

如要找出所有最初使用公開節點建立的叢集，請在專案或機構中使用這項 Cloud Asset Inventory 查詢：

SELECT
  resource.data.name AS cluster_name,
  resource.parent AS project_name,
  resource.data.privateClusterConfig.enablePrivateNodes
FROM
  `container_googleapis_com_Cluster`
WHERE
  resource.data.privateClusterConfig.enablePrivateNodes is null OR
  resource.data.privateClusterConfig.enablePrivateNodes = false

禁止透過 SSH 連線至叢集節點

2024 年 7 月 2 日更新： 本節適用於 Autopilot 和 Standard 叢集。

預設網路會預先填入 default-allow-ssh 防火牆規則，允許從公用網際網路進行 SSH 存取。如要移除這項存取權，請按照下列步驟操作：

  • 視需要建立規則，允許從信任的網路透過 SSH 存取專案中的 GKE 節點或其他 Compute Engine VM。
  • 使用下列指令停用預設防火牆規則：
    gcloud compute firewall-rules update default-allow-ssh --disabled --project=$PROJECT

如果您已建立任何其他防火牆規則，可能會允許透過通訊埠 22 上的 TCP 進行 SSH 連線，請停用這些規則，或將來源 IP 限制為信任的網路。

確認您無法再從網際網路透過 SSH 連線至叢集節點。這項防火牆設定可降低安全漏洞風險。

將公開節點集區轉換為私有節點集區

2024 年 7 月 2 日更新： 對於原本建立為公用叢集的 Autopilot 叢集，您可以使用 nodeSelectors，將工作負載放在私有節點上。不過，如果叢集原本是公開叢集，在該叢集上執行系統工作負載的 Autopilot 節點仍會是公開節點，因此應使用上一節所述的防火牆變更來保護。

為盡可能保護原本使用公開節點建立的叢集，建議您先透過防火牆禁止 SSH，如前所述。如果無法透過防火牆規則禁止 SSH，您可以按照這項指南隔離節點集區，將 GKE Standard 叢集上的公開節點集區轉換為私人節點集區。

變更 SSHD 設定

2024 年 7 月 2 日更新： 本節僅適用於標準叢集。Autopilot 工作負載無法修改節點設定。

如果無法套用上述任何緩解措施，我們也發布了 DaemonSet，可將 SSHD LoginGraceTime 設為零，並重新啟動 SSH Daemon。這個 DaemonSet 可套用至叢集，以減輕攻擊影響。請注意，這項設定可能會增加阻斷服務攻擊的風險，並導致合法的 SSH 存取發生問題。套用修補程式後，應移除這個 DaemonSet。

 重大

GDC (VMware)

更新時間： 2024 年 7 月 11 日

說明 嚴重性

2024 年 7 月 11 日更新： 下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將管理員工作站、管理員叢集和使用者叢集 (包括節點集區) 升級至下列其中一個版本或更新版本。如需操作說明，請參閱「升級叢集或節點集區」。

  • 1.16.10-gke.36
  • 1.28.700-gke.151
  • 1.29.200-gke.245

2024 年 7 月 2 日更新的這份公告誤稱，GDC 軟體 for VMware 上的所有支援版本 Ubuntu 映像檔，執行的 OpenSSH 版本都會受到這個問題影響。VMware 1.16 版叢集的 GDC 軟體 Ubuntu 映像檔，執行的 OpenSSH 版本不會受到這個問題影響。VMware 1.28 和 1.29 版 GDC 軟體中的 Ubuntu 映像檔有安全漏洞。在所有支援的 VMware 版 GDC 軟體中，Container-Optimized OS 映像檔都會受到這個問題影響。

2024 年 7 月 2 日更新： GDC software for VMware 支援的所有 Container-Optimized OS 和 Ubuntu 映像檔版本，執行的 OpenSSH 版本都會受到這個問題影響。

如果 VMware 叢集的節點 IP 位址公開，且 SSH 連線暴露於網際網路，請優先處理這類 GDC 軟體。

最近在 OpenSSH 中發現遠端程式碼執行安全漏洞 CVE-2024-6387。這項安全漏洞會利用競爭條件取得遠端殼層的存取權，讓攻擊者取得 GKE 節點的 Root 存取權。發布時，我們認為利用這項弱點相當困難，且每部受攻擊的機器都需要數小時。我們目前未發現任何利用此漏洞的攻擊。

該怎麼辦？

2024 年 7 月 2 日更新： 我們將盡快提供 VMware 版本的 GDC 軟體修補程式，其中包含更新的 OpenSSH。修補程式發布後，這則公告也會隨之更新。建議您視需要採取下列緩解措施。

禁止透過 SSH 連線至叢集節點

您可以變更基礎架構網路設定，禁止來自不受信任來源 (例如公開網際網路) 的 SSH 連線。

變更 sshd 設定

如果無法套用上述緩解措施，我們已發布 DaemonSet，可將 sshd LoginGraceTime 設為零，並重新啟動 SSH Daemon。這個 DaemonSet 可套用至叢集，以減輕攻擊影響。請注意，這項設定可能會增加阻斷服務攻擊的風險，並導致合法的 SSH 存取發生問題。套用修補程式後，請移除這個 DaemonSet。

 重大

GKE on AWS

更新時間： 2024 年 7 月 11 日

說明 嚴重性

2024 年 7 月 11 日更新： 下列 GKE on AWS 版本已更新程式碼，修正這個安全漏洞：

  • 1.27.14-gke.1200
  • 1.28.10-gke.1300
  • 1.29.5-gke.1100

將 GKE on AWS 控制層和節點集區升級至上述修補版本或更新版本。如需操作說明，請參閱「升級 AWS 叢集版本」和「更新節點集區」。

2024 年 7 月 2 日更新： GKE on AWS 支援的所有 Ubuntu 映像檔版本，執行的 OpenSSH 版本都容易受到這個問題影響。

如果 GKE on AWS 叢集具有公開節點 IP 位址，且 SSH 連線公開至網際網路，則應優先採取緩解措施。

最近在 OpenSSH 中發現遠端程式碼執行安全漏洞 CVE-2024-6387。這項安全漏洞會利用競爭條件取得遠端殼層的存取權，讓攻擊者取得 GKE 節點的 Root 存取權。發布時，我們認為利用這項弱點相當困難，且每部受攻擊的機器都需要數小時。我們並未發現任何利用此漏洞的嘗試。

該怎麼辦？

2024 年 7 月 2 日更新： 我們將盡快推出修補完成的 GKE on AWS 版本，其中包含更新的 OpenSSH。修補程式發布後，這則公告也會隨之更新。建議您按照下列步驟檢查叢集的曝光情形，並視需要套用所述的緩解措施。

判斷節點是否具有公開 IP 位址

根據預設，GKE on AWS 不會佈建任何具有公開 IP 位址的機器，也不會佈建允許流量進入通訊埠 22 的防火牆規則。不過，視子網路設定而定，機器在佈建期間可能會自動取得公開 IP 位址。

如要檢查節點是否已佈建公開 IP 位址，請查看與 AWS 節點集區資源相關聯的子網路設定。

禁止透過 SSH 連線至叢集節點

雖然根據預設，GKE on AWS 不允許任何節點使用通訊埠 22 的流量，但客戶可以將其他安全群組附加至節點集區，啟用連入的 SSH 流量。

建議您移除或縮減所提供安全群組的相應規則。

將公開節點集區轉換為私有節點集區

為盡可能保護含有公開節點的叢集，建議您先透過安全群組禁止 SSH，如上一節所述。如果無法透過安全群組規則禁止 SSH，可以停用自動將公開 IP 指派給子網路內機器的選項，然後重新佈建節點集區，將公開節點集區轉換為私有節點集區。

 重大

GKE on Azure

更新時間： 2024 年 7 月 11 日

說明 嚴重性

2024 年 7 月 11 日更新： 下列 Azure 上的 GKE 版本已更新程式碼，修正這個安全漏洞：

  • 1.27.14-gke.1200
  • 1.28.10-gke.1300
  • 1.29.5-gke.1100

將 GKE on Azure 控制層和節點集區升級至上述修補版本或更新版本。如需操作說明，請參閱「升級 Azure 叢集版本」和「更新節點集區」。

2024 年 7 月 2 日更新： GKE on Azure 支援的所有 Ubuntu 映像檔版本，執行的 OpenSSH 版本都容易受到這個問題影響。

如果 Azure 上的 GKE 叢集具有公開節點 IP 位址，且 SSH 連線對外公開，應優先採取緩解措施。

最近在 OpenSSH 中發現遠端程式碼執行安全漏洞 CVE-2024-6387。這項安全漏洞會利用競爭條件取得遠端殼層的存取權，讓攻擊者取得 GKE 節點的 Root 存取權。發布時，我們認為利用這項弱點相當困難，且每部受攻擊的機器都需要數小時。我們並未發現任何利用此漏洞的嘗試。

該怎麼辦？

2024 年 7 月 2 日更新： 我們將盡快提供 GKE on Azure 修補版本，其中包含更新的 OpenSSH。修補程式發布後，這則公告也會隨之更新。建議您按照下列步驟檢查叢集的曝光情形，並視需要套用所述的緩解措施。

判斷節點是否具有公開 IP 位址

GKE on Azure 不會佈建任何具有公開 IP 位址的機器，也不會佈建允許流量預設傳輸至通訊埠 22 的防火牆規則。如要檢查 Azure 設定，確認 GKE on Azure 叢集是否已設定任何公開 IP 位址，請執行下列指令：

az network public-ip list -g CLUSTER_RESOURCE_GROUP_NAME -o tsv
禁止透過 SSH 連線至叢集節點

雖然根據預設，Azure 上的 GKE 不允許任何節點透過通訊埠 22 傳輸流量，但客戶可以更新節點集區的 NetworkSecurityGroup 規則，從公開網際網路啟用傳入的 SSH 流量。

強烈建議您檢查與 Kubernetes 叢集相關聯的網路安全群組 (NSG)。如果現有 NSG 規則允許通訊埠 22 (SSH) 上的傳入流量不受限制，請執行下列其中一項操作：

  • 完全移除規則：如果不需要從網際網路存取叢集節點的 SSH，請移除規則，以消除潛在的攻擊媒介。
  • 縮小規則範圍：將通訊埠 22 的連入存取權限制為僅允許特定 IP 位址或範圍存取。這樣做可將潛在攻擊的受攻擊面降到最低。
將公開節點集區轉換為私有節點集區

為盡可能保護含有公開節點的叢集，建議您先透過安全群組禁止 SSH，如上一節所述。如果無法透過安全群組規則禁止 SSH，您可以移除與 VM 相關聯的公開 IP 位址，將公開節點集區轉換為私人節點集區。

如要從 VM 移除公開 IP 位址，並改用私人 IP 位址設定，請參閱「將公開 IP 位址與 Azure VM 取消關聯」。

影響： 使用公開 IP 位址的現有連線將會中斷。請確保您已備妥替代存取方法，例如 VPN 或 Azure Bastion。

 重大

GDC (裸機)

更新日期： 2024 年 7 月 2 日

說明 嚴重性

2024 年 7 月 2 日更新： 這份公告的原始版本誤稱裸機適用的 GDC 軟體正在進行修補程式版本。Bare Metal 專用的 GDC 軟體不會直接受到影響，因為這類軟體不會管理作業系統 SSH Daemon 或設定。因此，如「我該怎麼做？」一節所述，修補程式版本由作業系統供應商負責。

最近在 OpenSSH 中發現遠端程式碼執行安全漏洞 CVE-2024-6387。這項安全漏洞會利用競爭條件取得遠端殼層的存取權，讓攻擊者取得 GKE 節點的 Root 存取權。發布時，我們認為利用這項弱點相當困難，且每部受攻擊的機器都需要數小時。我們並未發現任何利用此漏洞的嘗試。

該怎麼辦？

2024 年 7 月 2 日更新： 請與作業系統供應商聯絡，取得與裸機適用的 GDC 軟體搭配使用的作業系統修補程式。

在套用 OS 供應商修補程式前，請確保可從網際網路連線的機器不允許來自網際網路的 SSH 連線。如果無法這麼做，可以將 LoginGraceTime 設為零，然後重新啟動 sshd 伺服器：

grep "^LoginGraceTime" /etc/ssh/sshd_config
            LoginGraceTime 0

請注意，這項設定變更可能會增加阻斷服務攻擊的風險，並導致正常的 SSH 存取發生問題。

2024 年 7 月 1 日的原始文字 (如需修正內容，請參閱前述 2024 年 7 月 2 日的更新)：

 重大

GCP-2024-039

發布日期：2024-06-28
更新日期：2024-09-25
參考資料： CVE-2024-26923

2024 年 9 月 25 日更新： 新增 GDC (VMware) 的修補程式版本。

2024 年 8 月 20 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

GKE

更新日期： 2024 年 8 月 20 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26923

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 8 月 20 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.27.16-gke.1051000
  • 1.28.12-gke.1052000
  • 1.29.7-gke.1174000
  • 1.30.3-gke.1225000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.26.15-gke.1360000
  • 1.27.14-gke.1022000
  • 1.28.9-gke.1289000
  • 1.29.5-gke.1010000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新時間： 2024 年 9 月 25 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26923

該怎麼辦？

2024 年 9 月 25 日更新：下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本或更新版本：

  • 1.29.400
  • 1.28.900

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26923

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26923

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26923

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2024-038

發布日期：2024-06-26
更新日期：2024-09-17
參考資料： CVE-2024-26924

2024 年 9 月 17 日更新： 新增 GDC (VMware) 的修補程式版本。

2024 年 8 月 6 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

GKE

更新日期： 2024 年 8 月 6 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26924

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 8 月 6 日更新：新增 GKE 上 Ubuntu 節點集區的修補程式版本。

下列 GKE 版本已更新程式碼，可修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.27.15-gke.1252000
  • 1.28.11-gke.1260000
  • 1.29.6-gke.1326000
  • 1.30.2-gke.1394003

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.26.15-gke.1360000
  • 1.27.14-gke.1022000
  • 1.28.9-gke.1289000
  • 1.29.5-gke.1010000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

GDC (VMware)

更新日期： 2024 年 9 月 17 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26924

該怎麼辦？

2024 年 9 月 17 日更新：下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本或更新版本：

  • 1.29.400
  • 1.28.800
  • 1.16.11

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26924

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26924

該怎麼辦？

 待處理

GDC (裸機)

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26924

該怎麼辦？

您無須採取任何行動。裸機適用的 GDC 軟體不受影響，因為其發布內容不含作業系統。

 無

GCP-2024-036

發布日期：2024 年 6 月 18 日
參考資料： CVE-2024-26584

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-26584

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.28.9-gke.1209000
  • 1.29.4-gke.1542000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-26584

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-26584

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-26584

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-26584

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-035

發布日期：2024 年 6 月 12 日
更新日期：2024 年 7 月 18 日
參考資料： CVE-2024-26584

2024 年 7 月 18 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本，並為 Container-Optimized OS 節點集區的 1.27 版新增修補程式版本。

GKE

更新日期： 2024 年 7 月 18 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26584

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 7 月 18 日更新： 下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.26.15-gke.1469000
  • 1.27.14-gke.1100000
  • 1.28.10-gke.1148000
  • 1.29.6-gke.1038000
  • 1.30.2-gke.1394000

下列 GKE 版本已更新程式碼，可修正 Container-Optimized OS 的這個安全漏洞。升級 Container-Optimized OS 節點集區至下列修補程式版本或更新版本：

  • 1.27.15-gke.1125000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.28.9-gke.1209000
  • 1.29.4-gke.1542000

下列次要版本會受到影響，但沒有可用的修補程式版本。我們會在修補程式版本發布後更新此公告：

  • 1.26
  • 1.27

如果叢集在自己的發布版本中執行相同的子版本，您就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26584

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26584

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26584

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26584

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-034

發布日期：2024-06-11
更新日期：2024-07-10
參考資料： CVE-2024-26583

2024 年 7 月 10 日更新： 新增執行次要版本 1.26 和 1.27 的 Container-Optimized OS 節點修補程式版本，並新增 Ubuntu 節點的修補程式版本。

GKE

更新日期： 2024 年 7 月 10 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-26583

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 7 月 10 日更新： 下列 GKE 版本已更新程式碼，修正這個安全漏洞。將 Ubuntu 節點集區升級至下列任一修補程式版本或更新版本：

  • 1.26.15-gke.1444000
  • 1.27.14-gke.1096000
  • 1.28.10-gke.1148000
  • 1.29.5-gke.1041001
  • 1.30.1-gke.1156001

如果是次要版本 1.26 和 1.27，請將 Container-Optimized OS 節點集區升級至下列修補程式版本或更新版本：

  • 1.26.15-gke.1404002
  • 1.27.14-gke.1059002

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.28.8-gke.1095000
  • 1.29.3-gke.1093000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-26583

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-26583

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-26583

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2024-26583

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-033

發布日期：2024-06-10
更新日期：2024-09-26
參考資料： CVE-2022-23222

2024 年 9 月 26 日更新： 新增 GDC (VMware) 的修補程式版本。

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2022-23222

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.26.15-gke.1381000
  • 1.27.14-gke.1022000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

更新時間： 2024 年 9 月 26 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2022-23222

該怎麼辦？

2024 年 9 月 26 日更新：下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本或更新版本：

  • 1.28.900-gke.113
  • 1.29.400-gke.8

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2022-23222

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2022-23222

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限升級：

  • CVE-2022-23222

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-031

發布日期：2024 年 5 月 24 日
參考資料：CVE-2024-4323

GKE

說明 嚴重性

Fluent Bit 最近發現一個新安全漏洞 (CVE-2024-4323)，可能導致遠端程式碼執行。Fluent Bit 2.0.7 至 3.0.3 版都會受到影響。

GKE 並未使用有安全漏洞的 Fluent Bit 版本，因此不受影響。

該怎麼辦？

GKE 不受這個安全漏洞影響。 您無須採取任何行動。

 無

VMware 中的 GKE

說明 嚴重性

Fluent Bit 最近發現一個新安全漏洞 (CVE-2024-4323)，可能導致遠端程式碼執行。Fluent Bit 2.0.7 至 3.0.3 版都會受到影響。

GKE on VMware 並未使用有安全漏洞的 Fluent Bit 版本，因此不受影響。

該怎麼辦？

GKE on VMware 不受這個安全漏洞影響。 您無須採取任何行動。

 無

GKE on AWS

說明 嚴重性

Fluent Bit 最近發現一個新安全漏洞 (CVE-2024-4323)，可能導致遠端程式碼執行。Fluent Bit 2.0.7 至 3.0.3 版都會受到影響。

GKE on AWS 並未使用有安全漏洞的 Fluent Bit 版本，因此不受影響。

該怎麼辦？

GKE on AWS 不受這個安全漏洞影響。 您無須採取任何行動。

 無

GKE on Azure

說明 嚴重性

Fluent Bit 最近發現一個新安全漏洞 (CVE-2024-4323)，可能導致遠端程式碼執行。Fluent Bit 2.0.7 至 3.0.3 版都會受到影響。

Azure 上的 GKE 並未使用有安全漏洞的 Fluent Bit 版本，因此不受影響。

該怎麼辦？

Azure 上的 GKE 不受這個安全漏洞影響。 您無須採取任何行動。

 無

Bare Metal 中的 GKE

說明 嚴重性

Fluent Bit 最近發現一個新安全漏洞 (CVE-2024-4323)，可能導致遠端程式碼執行。Fluent Bit 2.0.7 至 3.0.3 版都會受到影響。

GKE on Bare Metal 不會使用有安全漏洞的 Fluent Bit 版本，因此不受影響。

該怎麼辦？

Bare Metal 中的 GKE 不受這個安全漏洞影響。 您無須採取任何行動。

 無

GCP-2024-030

發布日期：2024-05-15
更新日期：2024-07-18
參考資料： CVE-2023-52620

2024 年 7 月 18 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

GKE

更新日期： 2024 年 7 月 18 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-52620

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 7 月 18 日更新： 下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.26.15-gke.1469000
  • 1.27.14-gke.1100000
  • 1.28.10-gke.1148000
  • 1.29.6-gke.1038000
  • 1.30.2-gke.1394000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.13-gke.1166000
  • 1.28.8-gke.1095000
  • 1.29.3-gke.1093000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-52620

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-52620

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-52620

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-52620

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-029

發布日期：2024-05-14
更新日期：2024-08-19
參考資料： CVE-2024-26642

2024 年 8 月 19 日更新： 新增 Ubuntu 節點的修補程式版本。

GKE

更新日期： 2024 年 8 月 19 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26642

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 8 月 19 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.27.16-gke.1051000
  • 1.28.12-gke.1052000
  • 1.29.7-gke.1174000
  • 1.30.3-gke.1225000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.13-gke.1166000
  • 1.28.8-gke.1095000
  • 1.29.3-gke.1093000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26642

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26642

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26642

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26642

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-028

發布日期：2024-05-13
更新日期：2024-05-22
參考資料： CVE-2024-26581

2024 年 5 月 22 日更新： 新增 Ubuntu 節點的修補程式版本。

GKE

更新日期： 2024 年 5 月 22 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26581

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 5 月 22 日更新： 下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.26.15-gke.1300000
  • 1.27.13-gke.1011000
  • 1.28.9-gke.1209000
  • 1.29.4-gke.1542000
  • 1.30.0-gke.1712000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.25.16-gke.1596000
  • 1.26.14-gke.1076000
  • 1.27.11-gke.1202000
  • 1.28.8-gke.1095000
  • 1.29.3-gke.1093000

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.26.15-gke.1300000
  • 1.28.9-gke.1209000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26581

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26581

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26581

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26581

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-027

發布日期：2024-05-08
更新日期：2024-09-25
參考資料： CVE-2024-26808

2024 年 9 月 25 日更新： 新增 GDC (VMware) 的修補程式版本。

2024 年 5 月 15 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

2024 年 5 月 9 日更新： 將嚴重程度從「中」修正為「高」，並說明預設設定的 GKE Autopilot 叢集不會受到影響。

GKE

更新時間： 2024 年 5 月 9 日、2024 年 5 月 15 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26808

2024-05-09 更新：已將嚴重程度從「中」修正為「高」。 原先的公告指出 Autopilot 叢集會受到影響，但這是錯誤的資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 5 月 15 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.26.15-gke.1323000
  • 1.27.13-gke.1206000
  • 1.28.10-gke.1000000
  • 1.29.3-gke.1282004
  • 1.30.0-gke.1584000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.8-gke.1067000
  • 1.28.8-gke.1095000
  • 1.29.3-gke.1093000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

更新時間： 2024 年 9 月 25 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26808

該怎麼辦？

2024 年 9 月 25 日更新：下列 VMware 適用的 GDC 軟體版本已更新程式碼，可修正這個安全漏洞。將 VMware 叢集的 GDC 軟體升級至下列版本或更新版本：

  • 1.28.600
  • 1.16.9

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26808

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26808

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26808

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-026

發布日期：2024-05-07
更新日期：2024-08-06
參考資料： CVE-2024-26643

2024 年 8 月 6 日更新： 新增 GKE 上 Ubuntu 節點集區的修補程式版本。

2024 年 5 月 9 日更新： 修正嚴重程度，從中改為高。

GKE

更新日期： 2024 年 8 月 6 日

說明 嚴重性

2024 年 5 月 9 日更新：將嚴重程度從「中」修正為「高」。

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26643

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 8 月 6 日更新：新增 GKE 上 Ubuntu 節點集區的修補程式版本。

下列 GKE 版本已更新程式碼，可修正 Ubuntu 上的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.27.15-gke.1252000
  • 1.28.11-gke.1260000
  • 1.29.6-gke.1326000
  • 1.30.2-gke.1394003

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.8-gke.1067000
  • 1.28.8-gke.1095000
  • 1.29.3-gke.1093000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26643

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26643

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26643

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26643

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-024

發布日期：2024 年 4 月 25 日
更新日期：2024 年 7 月 18 日
參考資料： CVE-2024-26585

2024 年 7 月 18 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本。

GKE

更新日期： 2024 年 7 月 18 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26585

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 7 月 18 日更新： 下列 GKE 版本已更新程式碼，修正 Ubuntu 上的這個安全漏洞。升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.26.15-gke.1469000
  • 1.27.14-gke.1100000
  • 1.28.10-gke.1148000
  • 1.29.6-gke.1038000
  • 1.30.2-gke.1394000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.25.16-gke.1759000
  • 1.26.15-gke.1158000
  • 1.27.12-gke.1190000
  • 1.28.8-gke.1175000
  • 1.29.3-gke.1282000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26585

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26585

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26585

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-26585

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-022

發布日期：2024-04-03
更新日期：2024-07-17
參考資料：CVE-2023-45288

2024 年 7 月 17 日更新： 新增 GKE on VMware 的修補程式版本。
2024 年 7 月 9 日更新： 新增 GKE on Bare Metal 的修補程式版本。
2024 年 4 月 24 日更新： 新增 GKE 的修補程式版本。

GKE

更新日期： 2024 年 4 月 24 日

說明 嚴重性

最近在多個 HTTP/2 通訊協定實作中發現阻斷服務 (DoS) 安全漏洞 (CVE-2023-45288)，包括 Kubernetes 使用的 golang HTTP 伺服器。這個安全漏洞可能會導致 Google Kubernetes Engine (GKE) 控制層發生 DoS 攻擊。設定授權網路的 GKE 叢集會受到保護，網路存取權會受到限制，但其他所有叢集都會受到影響。

GKE Autopilot 和 Standard 叢集都會受到影響。

該怎麼辦？

2024 年 4 月 24 日更新：新增 GKE 的修補程式版本。

下列 GKE 版本包含 Golang 安全性修補程式，可修正這個安全漏洞。將 GKE 叢集升級至下列版本或更新版本：

  • 1.25.16-gke.1759000
  • 1.26.15-gke.1158000
  • 1.27.12-gke.1190000
  • 1.28.8-gke.1175000
  • 1.29.3-gke.1282000

golang 專案已於 2024 年 4 月 3 日發布修補程式。我們會在含有這些修補程式的 GKE 版本發布後，更新這項公告。如要要求加快修補程式的發布速度，請與支援團隊聯絡。

如要減輕影響，請設定控制層存取權的授權網路：

您可以設定授權網路，防範這類攻擊。按照指示為現有叢集啟用授權網路。

如要進一步瞭解授權網路如何控管控制層的存取權，請參閱「授權網路的運作方式」。如要查看預設授權網路存取權，請查看「存取控制層端點」部分中的表格。

這個修補程式修正了哪些安全漏洞？

攻擊者可利用這項安全漏洞 (CVE-2023-45288)，對 Kubernetes 控制層發動阻斷服務攻擊。

 高

VMware 中的 GKE

更新日期： 2024 年 7 月 17 日

說明 嚴重性

最近在多個 HTTP/2 通訊協定實作中發現阻斷服務 (DoS) 安全漏洞 (CVE-2023-45288)，包括 Kubernetes 使用的 golang HTTP 伺服器。這個安全漏洞可能會導致 Google Kubernetes Engine (GKE) 控制層發生 DoS 攻擊。

該怎麼辦？

2024 年 7 月 17 日更新：新增 GKE on VMware 的修補程式版本。

下列版本的 GKE on VMware 包含修正此安全漏洞的程式碼。將 GKE on VMware 叢集升級至下列版本或更新版本：

  • 1.29.0
  • 1.28.500
  • 1.16.8

golang 專案已於 2024 年 4 月 3 日發布修補程式。我們會在含有這些修補程式的 GKE on VMware 版本發布後，更新這項公告。如要要求加快修補程式的發布速度，請與支援團隊聯絡。

這個修補程式修正了哪些安全漏洞？

攻擊者可利用這項安全漏洞 (CVE-2023-45288)，對 Kubernetes 控制層發動阻斷服務攻擊。

 高

GKE on AWS

說明 嚴重性

最近在多個 HTTP/2 通訊協定實作中發現阻斷服務 (DoS) 安全漏洞 (CVE-2023-45288)，包括 Kubernetes 使用的 golang HTTP 伺服器。這個安全漏洞可能會導致 Google Kubernetes Engine (GKE) 控制層發生 DoS 攻擊。

該怎麼辦？

golang 專案已於 2024 年 4 月 3 日發布修補程式。我們會在含有這些修補程式的 GKE on AWS 版本發布後，更新這份公告。如要要求加快修補程式的發布速度，請與支援團隊聯絡。

這個修補程式修正了哪些安全漏洞？

攻擊者可利用這項安全漏洞 (CVE-2023-45288)，對 Kubernetes 控制層發動阻斷服務攻擊。

 高

GKE on Azure

說明 嚴重性

最近在多個 HTTP/2 通訊協定實作中發現阻斷服務 (DoS) 安全漏洞 (CVE-2023-45288)，包括 Kubernetes 使用的 golang HTTP 伺服器。這個安全漏洞可能會導致 Google Kubernetes Engine (GKE) 控制層發生 DoS 攻擊。

該怎麼辦？

golang 專案已於 2024 年 4 月 3 日發布修補程式。我們會在含有這些修補程式的 Azure 版 GKE 版本發布後，更新這項公告。如要要求加快修補程式的發布速度，請與支援團隊聯絡。

這個修補程式修正了哪些安全漏洞？

攻擊者可利用這項安全漏洞 (CVE-2023-45288)，對 Kubernetes 控制層發動阻斷服務攻擊。

 高

Bare Metal 中的 GKE

更新日期： 2024 年 7 月 9 日

說明 嚴重性

最近在多個 HTTP/2 通訊協定實作中發現阻斷服務 (DoS) 安全漏洞 (CVE-2023-45288)，包括 Kubernetes 使用的 golang HTTP 伺服器。這個安全漏洞可能會導致 Google Kubernetes Engine (GKE) 控制層發生 DoS 攻擊。

該怎麼辦？

2024 年 7 月 9 日更新：新增 GKE on Bare Metal 的修補程式版本。

下列版本的 Bare Metal 中的 GKE 包含修正此安全漏洞的程式碼。將 GKE on Bare Metal 叢集升級至下列版本或更新版本：

  • 1.29.100
  • 1.28.600
  • 1.16.9

golang 專案已於 2024 年 4 月 3 日發布修補程式。我們會在含這些修補程式的 GKE on Bare Metal 版本發布後，更新這項公告。如要要求加快修補程式的發布速度，請與支援團隊聯絡。

這個修補程式修正了哪些安全漏洞？

攻擊者可利用這項安全漏洞 (CVE-2023-45288)，對 Kubernetes 控制層發動阻斷服務攻擊。

 高

GCP-2024-018

發布日期：2024-03-12
更新日期：2024-05-06
參考資料： CVE-2024-1085

2024 年 5 月 6 日更新： 新增 GKE Ubuntu 節點集區的修補程式版本，並從 2024 年 4 月 4 日的更新中移除額外的水平線元素。

2024 年 4 月 4 日更新： 修正 GKE Container-Optimized OS 節點集區的最低版本。

GKE

更新日期： 2024 年 5 月 6 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-1085

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 5 月 6 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 中的這個安全漏洞。將 Ubuntu 節點集區升級至下列版本或更新版本。

  • 1.26.15-gke.1158000
  • 1.27.12-gke.1190000
  • 1.28.8-gke.1175000
  • 1.29.3-gke.1093000

2024 年 4 月 4 日更新：修正 GKE Container-Optimized OS 節點集區的最低版本。

先前列出的 Container-Optimized OS 修正程式最低 GKE 版本有誤。下列 GKE 版本已更新程式碼，可修正 Container-Optimized OS 的這個安全漏洞。將 Container-Optimized OS 節點集區升級至下列版本或更新版本：

  • 1.25.16-gke.1520000
  • 1.26.13-gke.1221000
  • 1.27.10-gke.1243000
  • 1.28.8-gke.1083000
  • 1.29.3-gke.1054000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.25.16-gke.1518000
  • 1.26.13-gke.1219000
  • 1.27.10-gke.1240000
  • 1.28.6-gke.1433000
  • 1.29.1-gke.1716000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-1085

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-1085

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-1085

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-1085

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-017

發布日期：2024-03-06
參考資料： CVE-2023-3611

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3611

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.10-gke.1027001
  • 1.26.5-gke.1021001
  • 1.27.3-gke.1001002

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.10-gke.1027001
  • 1.26.5-gke.1021001
  • 1.27.3-gke.1001002

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3611

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3611

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3611

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3611

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-014

發布日期：2024 年 2 月 26 日
參考資料： CVE-2023-3776

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3776

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.10-gke.1027001
  • 1.26.5-gke.1014001
  • 1.27.3-gke.1001002
  • 1.28.0-gke.100

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.10-gke.1027001
  • 1.26.5-gke.1021001
  • 1.27.3-gke.1001002

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3776

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3776

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3776

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3776

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-013

發布日期：2024 年 2 月 23 日
參考資料： CVE-2023-3610

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3610

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.3-gke.1001002
  • 1.28.0-gke.100

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.10-gke.1027001
  • 1.26.5-gke.1021001
  • 1.27.3-gke.1001002

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3610

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3610

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3610

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-3610

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-012

發布日期：2024 年 2 月 20 日
參考資料： CVE-2024-0193

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-0193

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.10-gke.1149000
  • 1.28.6-gke.1274000
  • 1.29.1-gke.1388000

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.25.16-gke.1412001
  • 1.26.6-gke.1017002
  • 1.27.10-gke.1055001
  • 1.28.6-gke.1276000
  • 1.29.1-gke.1392000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-0193

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-0193

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-0193

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2024-0193

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-011

發布日期：2024 年 2 月 15 日
參考資料： CVE-2023-6932

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-6932

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.24.17-gke.2364001
  • 1.25.16-gke.1229000
  • 1.26.6-gke.1017002
  • 1.27.3-gke.1001003
  • 1.28.5-gke.1194000
  • 1.29.0-gke.1340000

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.25.16-gke.1412001
  • 1.26.6-gke.1017002
  • 1.27.10-gke.1055001
  • 1.28.6-gke.1276000
  • 1.29.1-gke.1221000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-6932

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-6932

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-6932

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升：

  • CVE-2023-6932

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-010

發布日期：2024-02-14
更新日期：2024-04-17
參考資料： CVE-2023-6931

2024 年 4 月 17 日更新： 新增 GKE on VMware 的修補程式版本。

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-6931

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.24.17-gke.2364001
  • 1.25.16-gke.1229000
  • 1.26.6-gke.1017002
  • 1.27.3-gke.1001003
  • 1.28.5-gke.1194000
  • 1.29.0-gke.1340000

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.25.16-gke.1412001
  • 1.26.6-gke.1017002
  • 1.27.10-gke.1055001
  • 1.28.6-gke.1276000
  • 1.29.1-gke.1221000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

更新日期： 2024 年 4 月 17 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-6931

該怎麼辦？

2024 年 4 月 17 日更新：新增 GKE on VMware 的修補程式版本。

下列版本的 GKE on VMware 已更新程式碼，可修正這個安全漏洞。將叢集升級至下列版本或更新版本：

  • 1.28.200
  • 1.16.6
  • 1.15.10

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-6931

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-6931

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-6931

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-008

發布日期：2024 年 2 月 12 日
參考資料：CVE-2023-5528

GKE

說明 嚴重性

攻擊者可利用 CVE-2023-5528 在 Windows 節點上建立 Pod 和 PersistentVolume，進而提升這些節點的管理員權限。

執行 Windows Server 節點並使用樹內儲存空間外掛程式的 GKE Standard 叢集可能會受到影響。

使用 GKE Sandbox 的 GKE Autopilot 叢集和 GKE 節點集區不受影響，因為這些叢集和節點集區不支援 Windows Server 節點。

該怎麼辦？

判斷叢集是否正在使用 Windows Server 節點：

kubectl get nodes -l kubernetes.io/os=windows

檢查稽核記錄，找出遭到濫用的證據。您可以稽核 Kubernetes 稽核記錄，判斷是否有人利用這項安全漏洞。如果 PersistentVolume 建立事件的本機路徑欄位含有特殊字元，就很有可能是遭到攻擊。

將 GKE 叢集和節點集區更新至修補版本。下列 GKE 版本已更新，可修正這個安全漏洞。即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和 Windows Server 節點集區至下列 GKE 版本或更新版本：

  • 1.24.17-gke.6100
  • 1.25.15-gke.2000
  • 1.26.10-gke.2000
  • 1.27.7-gke.2000
  • 1.28.3-gke.1600

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

這個修補程式修正了哪些安全漏洞？

攻擊者可利用 CVE-2023-5528 在 Windows 節點上建立 Pod 和 PersistentVolume，進而提升這些節點的管理員權限。

 高

VMware 中的 GKE

說明 嚴重性

攻擊者可利用 CVE-2023-5528 在 Windows 節點上建立 Pod 和 PersistentVolume，進而提升這些節點的管理員權限。

執行 Windows Server 節點並使用樹內儲存空間外掛程式的 GKE on VMware 叢集可能會受到影響。

該怎麼辦？

判斷叢集是否正在使用 Windows Server 節點：

kubectl get nodes -l kubernetes.io/os=windows

檢查稽核記錄，找出遭到濫用的證據。您可以稽核 Kubernetes 稽核記錄，判斷是否有人利用這項安全漏洞。如果 PersistentVolume 建立事件的本機路徑欄位含有特殊字元，就很有可能是遭到攻擊。

將 GKE on VMware 叢集和節點集區更新至修補版本。下列 GKE on VMware 版本已更新，可修正這個安全漏洞。即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和 Windows Server 節點集區，至下列其中一個 GKE on VMware 版本或更新版本：

  • 1.28.100-gke.131
  • 1.16.5-gke.28
  • 1.15.8-gke.41

這個修補程式修正了哪些安全漏洞？

攻擊者可利用 CVE-2023-5528 在 Windows 節點上建立 Pod 和 PersistentVolume，進而提升這些節點的管理員權限。

 高

GKE on AWS

說明 嚴重性

攻擊者可利用 CVE-2023-5528 在 Windows 節點上建立 Pod 和 PersistentVolume，進而提升這些節點的管理員權限。

GKE on AWS 叢集不受影響。

該怎麼辦？

您不必採取任何動作

 無

GKE on Azure

說明 嚴重性

攻擊者可利用 CVE-2023-5528 在 Windows 節點上建立 Pod 和 PersistentVolume，進而提升這些節點的管理員權限。

Azure 上的 GKE 叢集不受影響。

該怎麼辦？

您不必採取任何動作

 無

Bare Metal 中的 GKE

說明 嚴重性

攻擊者可利用 CVE-2023-5528 在 Windows 節點上建立 Pod 和 PersistentVolume，進而提升這些節點的管理員權限。

GKE on Bare Metal 叢集不受影響。

該怎麼辦？

您不必採取任何動作

 無

GCP-2024-005

發布日期：2024-01-31
更新日期：2024-05-06
參考資料：CVE-2024-21626

2024 年 5 月 6 日更新：新增 GKE on AWS 和 GKE on Azure 的修補程式版本。
2024 年 4 月 2 日更新：新增 GKE on Bare Metal 的修補程式版本
2024 年 3 月 6 日更新：新增 GKE on VMware 的修補程式版本
2024 年 2 月 28 日更新：新增 Ubuntu 的修補程式版本
2024 年 2 月 15 日更新：釐清 2024 年 2 月 14 日更新中，1.25 和 1.26 Ubuntu 修補程式版本可能會導致節點狀況不佳。
2024 年 2 月 14 日更新：新增 Ubuntu 的修補程式版本
2024 年 2 月 6 日更新：新增 Container-Optimized OS 的修補程式版本。

GKE

更新日期： 2024 年 3 月 6 日

說明 嚴重性

我們在 runc 中發現 CVE-2024-21626 安全漏洞，如果使用者有權在 Container-Optimized OS 和 Ubuntu 節點上建立 Pod，可能就能完全存取節點檔案系統。

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 2 月 28 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 中的這個安全漏洞。將 Ubuntu 節點集區升級至下列任一修補程式版本或更新版本：

  • 1.25.16-gke.1537000
  • 1.26.14-gke.1006000

2024 年 2 月 15 日更新：由於發生問題，2024 年 2 月 14 日更新中的下列 Ubuntu 修補程式版本可能會導致節點進入不正常的狀態。請勿升級至下列修補程式版本。Ubuntu 1.25 和 1.26 的新版修補程式發布後，我們會更新這份公告。

  • 1.25.16-gke.1497000
  • 1.26.13-gke.1189000

如果您已升級至上述任一修補程式版本，請手動將節點集區降級至發布管道中的舊版。

2024 年 2 月 14 日更新：下列 GKE 版本已更新程式碼，修正 Ubuntu 中的這個安全漏洞。將 Ubuntu 節點集區升級至下列任一修補程式版本或更新版本：

  • 1.25.16-gke.1497000
  • 1.26.13-gke.1189000
  • 1.27.10-gke.1207000
  • 1.28.6-gke.1369000
  • 1.29.1-gke.1575000

2024 年 2 月 6 日更新：下列 GKE 版本已更新程式碼，修正 Container-Optimized OS 中的這項安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和 Container-Optimized OS 節點集區，至下列其中一個 GKE 版本或更新版本：

  • 1.25.16-gke.1460000
  • 1.26.13-gke.1144000
  • 1.27.10-gke.1152000
  • 1.28.6-gke.1289000
  • 1.29.1-gke.1425000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

我們正在更新 GKE，以修正這個安全漏洞。我們會在修補程式版本發布後更新這份公告。

這個修補程式修正了哪些安全漏洞？

runc 是用於產生及執行 Linux 容器的低階工具，適用於 Kubernetes Pod。在本次安全性公告發布的修補程式之前，runc 版本會意外將多個檔案描述元洩漏到容器內執行的 runc init 程序。runc 也未驗證容器的最終工作目錄是否位於容器的掛接命名空間內。惡意容器映像檔或有權執行任意 Pod 的使用者，可能會利用外洩的檔案描述元和缺乏工作目錄驗證的漏洞，取得節點主機掛接命名空間的存取權，進而存取整個主機檔案系統，並覆寫節點上的任意二進位檔。

 高

VMware 中的 GKE

更新日期： 2024 年 3 月 6 日

說明 嚴重性

我們在 runc 中發現 CVE-2024-21626 安全漏洞。如果使用者有權在 Container-Optimized OS 和 Ubuntu 節點上建立 Pod，就可能完全存取節點檔案系統。

該怎麼辦？

2024 年 3 月 6 日更新：下列版本的 VMware 專用 GKE 已更新程式碼，修正這項安全漏洞。將叢集升級至下列版本或更新版本：

  • 1.28.200
  • 1.16.6
  • 1.15.9

GKE on VMware 的修補程式版本和嚴重程度評估作業正在進行中。 我們會在取得相關資訊後更新這份公告。

這個修補程式修正了哪些安全漏洞？

runc 是用於產生及執行 Linux 容器的低階工具，適用於 Kubernetes Pod。在本次安全性公告發布的修補程式之前，runc 版本會意外將多個檔案描述元洩漏到容器內執行的 runc init 程序。runc 也未驗證容器的最終工作目錄是否位於容器的掛接命名空間內。惡意容器映像檔或有權執行任意 Pod 的使用者，可能會利用外洩的檔案描述元和缺乏工作目錄驗證的漏洞，取得節點主機掛接命名空間的存取權，進而存取整個主機檔案系統，並覆寫節點上的任意二進位檔。

 高

GKE on AWS

更新日期： 2024 年 5 月 6 日

說明 嚴重性

我們在 runc 中發現 CVE-2024-21626 安全漏洞。如果使用者有權在 Container-Optimized OS 和 Ubuntu 節點上建立 Pod，就可能完全存取節點檔案系統。

該怎麼辦？

2024 年 5 月 6 日更新：下列 GKE on AWS 版本已更新，並提供 CVE-2024-21626 的修補程式：

  • 1.28.5-gke.1200
  • 1.27.10-gke.500
  • 1.26.13-gke.400

AWS 上的 GKE 修補程式版本和嚴重程度評估正在進行中。 我們會在取得相關資訊後更新這份公告。

這個修補程式修正了哪些安全漏洞？

runc 是用於產生及執行 Linux 容器的低階工具，適用於 Kubernetes Pod。在本次安全性公告發布的修補程式之前，runc 版本會意外將多個檔案描述元洩漏到容器內執行的 runc init 程序。runc 也未驗證容器的最終工作目錄是否位於容器的掛接命名空間內。惡意容器映像檔或有權執行任意 Pod 的使用者，可能會利用外洩的檔案描述元和缺乏工作目錄驗證的漏洞，取得節點主機掛接命名空間的存取權，進而存取整個主機檔案系統，並覆寫節點上的任意二進位檔。

 高

GKE on Azure

更新日期： 2024 年 5 月 6 日

說明 嚴重性

我們在 runc 中發現 CVE-2024-21626 安全漏洞。如果使用者有權在 Container-Optimized OS 和 Ubuntu 節點上建立 Pod，就可能完全存取節點檔案系統。

該怎麼辦？

2024 年 5 月 6 日更新：下列版本的 Azure 專用 GKE 已更新，並提供 CVE-2024-21626 的修補程式：

  • 1.28.5-gke.1200
  • 1.27.10-gke.500
  • 1.26.13-gke.400

我們正在為 Azure 上的 GKE 進行修補程式版本和嚴重程度評估。 我們會在取得相關資訊後更新這份公告。

這個修補程式修正了哪些安全漏洞？

runc 是用於產生及執行 Linux 容器的低階工具，適用於 Kubernetes Pod。在本次安全性公告發布的修補程式之前，runc 版本會意外將多個檔案描述元洩漏到容器內執行的 runc init 程序。runc 也未驗證容器的最終工作目錄是否位於容器的掛接命名空間內。惡意容器映像檔或有權執行任意 Pod 的使用者，可能會利用外洩的檔案描述元和缺乏工作目錄驗證的漏洞，取得節點主機掛接命名空間的存取權，進而存取整個主機檔案系統，並覆寫節點上的任意二進位檔。

 高

Bare Metal 中的 GKE

更新時間： 2024 年 4 月 2 日

說明 嚴重性

我們在 runc 中發現 CVE-2024-21626 安全漏洞，具備 Pod 建立權限的使用者可能因此取得節點檔案系統的完整存取權。

該怎麼辦？

2024 年 4 月 2 日更新：下列版本的 GKE on Bare Metal 已更新程式碼，修正這項安全漏洞。將叢集升級至下列版本或更新版本：

  • 1.28.200-gke.118
  • 1.16.6
  • 1.15.10

我們正在為 GKE on Bare Metal 進行修補程式版本和嚴重程度評估。 我們會在取得相關資訊後更新這份公告。

這個修補程式修正了哪些安全漏洞？

runc 是用於產生及執行 Linux 容器的低階工具，適用於 Kubernetes Pod。在本次安全性公告發布的修補程式之前，runc 版本會意外將多個檔案描述元洩漏到容器內執行的 runc init 程序。runc 也未驗證容器的最終工作目錄是否位於容器的掛接命名空間內。惡意容器映像檔或有權執行任意 Pod 的使用者，可能會利用外洩的檔案描述元和缺乏工作目錄驗證的漏洞，取得節點主機掛接命名空間的存取權，進而存取整個主機檔案系統，並覆寫節點上的任意二進位檔。

 高

GCP-2024-004

發布日期：2024-01-24
更新日期：2024-02-07
參考資料： CVE-2023-6817

2024 年 2 月 7 日更新： 新增 Ubuntu 的修補程式版本。

GKE

更新日期： 2024 年 2 月 7 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-6817

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 2 月 7 日更新：以下子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.25.16-gke.1458000
  • 1.26.13-gke.1143000
  • 1.27.10-gke.1152000
  • 1.28.6-gke.1276000
  • 1.29.1-gke.1221000

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.25.16-gke.1229000
  • 1.26.12-gke.1087000
  • 1.27.3-gke.1001003
  • 1.28.5-gke.1194000
  • 1.29.0-gke.1340000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-6817

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-6817

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-6817

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-6817

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2024-003

發布日期：2024 年 1 月 19 日
更新日期：2024 年 1 月 26 日
2024 年 1 月 26 日更新：釐清受影響的叢集數量，以及我們採取哪些行動來協助減輕影響。

GKE

更新日期： 2024 年 1 月 26 日

說明 嚴重性

2024 年 1 月 26 日更新：安全性研究人員發現少數 GKE 叢集有客戶建立的錯誤設定，涉及 system:authenticated 群組，並已發布相關資訊。研究人員的網誌文章提到 1,300 個叢集含有部分設定錯誤的繫結，108 個叢集則具有高權限。我們已與受影響的客戶密切合作，通知他們並協助移除設定錯誤的繫結。

我們發現有幾個叢集的使用者已將 Kubernetes 權限授予 system:authenticated 群組，這個群組包含所有 Google 帳戶使用者。這類繫結不建議使用，因為這會違反最低權限原則，並授予大量使用者存取權。如需如何尋找這類繫結的操作說明，請參閱「我該怎麼做」一節的指引。

最近，一位安全研究人員透過我們的安全漏洞回報計畫，回報了 RBAC 叢集設定錯誤的發現。

Google 的驗證方法是盡可能簡化及確保 GKE 驗證程序安全無虞，且不增加複雜的設定步驟。 Google Cloud 驗證只會告訴我們使用者是誰，授權則會決定存取權。因此，GKE 中包含透過 Google 識別資訊提供者驗證的所有使用者的 system:authenticated 群組，會如預期運作，且功能與 IAM allAuthenticatedUsers 識別碼相同。

為此，我們採取了多項措施，降低使用者使用 Kubernetes 內建使用者和群組時發生授權錯誤的風險，包括 system:anonymous、system:authenticated 和 system:unauthenticated。如果授予權限，這些使用者/群組都會對叢集造成風險。我們在 2023 年 11 月的 Kubecon 上，討論了針對 RBAC 錯誤設定的攻擊者活動，以及可用的防禦措施。

為保護使用者，避免因這些系統使用者/群組發生授權錯誤，我們採取了以下措施：

套用授權網路限制的叢集具有第一層防禦機制，無法直接從網際網路遭受攻擊。但我們仍建議移除這些繫結，以享有深入的防禦機制，並防範網路控制項發生錯誤。
請注意，在許多情況下，系統會刻意將 Kubernetes 系統使用者或群組繫結：例如，用於 kubeadm 啟動程序、Rancher 資訊主頁和 Bitnami 密封密鑰。我們已向這些軟體供應商確認，這些繫結可正常運作。

我們正在研究如何透過預防和偵測機制，進一步防範使用者 RBAC 錯誤設定，以保護這些系統使用者/群組。

該怎麼辦？

如要禁止新增使用者 �、群組 �、群組 � 或群組 � 的繫結，使用者可以升級至 GKE 1.28 版或更新版本 (版本資訊)，系統會禁止建立這些繫結。cluster-adminsystem:anonymoussystem:authenticatedsystem:unauthenticated

應按照這項指引檢查現有繫結。

 中

VMware 中的 GKE

目前沒有更新。

GKE on AWS

目前沒有更新。

GKE on Azure

目前沒有更新。

Bare Metal 中的 GKE

目前沒有更新。

GCP-2024-002

發布日期：2024-01-17
更新日期：2024-02-20
參考資料： CVE-2023-6111

2024 年 2 月 20 日更新： 新增 GKE on VMware 的修補程式版本。

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限遭到提升。

  • CVE-2023-6111

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.7-gke.1063001
  • 1.28.5-gke.1194000
  • 1.29.0-gke.1340000

如果叢集在自己的發布版本中執行相同的子版本，您就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

更新日期： 2024 年 2 月 20 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限遭到提升。

  • CVE-2023-6111

該怎麼辦？

2024 年 2 月 20 日更新：下列版本的 GKE on VMware 已更新程式碼，修正這個安全漏洞。將叢集升級至下列版本或更新版本：1.28.100

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限遭到提升。

  • CVE-2023-6111

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限遭到提升。

  • CVE-2023-6111

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 節點上的權限遭到提升。

  • CVE-2023-6111

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-051

發布日期：2023 年 12 月 28 日
參考資料： CVE-2023-3609

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3609

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.10-gke.1027001
  • 1.26.5-gke.1014001
  • 1.27.3-gke.1001002
  • 1.28.0-gke.100

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.26.5-gke.1021001
  • 1.27.3-gke.1001002

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3609

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3609

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3609

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3609

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-050

發布日期：2023 年 12 月 27 日
參考資料： CVE-2023-3389

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3389

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.10-gke.1027001
  • 1.26.5-gke.1014001
  • 1.27.3-gke.1001002
  • 1.28.0-gke.100

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.10-gke.1027001
  • 1.26.5-gke.1014001
  • 1.27.3-gke.1001002
  • 1.28.1-gke.1002003

如果叢集在自己的發布版本中執行相同的子版本，您就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3389

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3389

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3389

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3389

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-049

發布日期：2023 年 12 月 20 日
參考資料： CVE-2023-3090

GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3090

GKE 標準叢集會受到影響。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，就可能會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.12-gke.900
  • 1.26.5-gke.1014001
  • 1.27.4-gke.400
  • 1.28.0-gke.100

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.12-gke.900
  • 1.26.5-gke.1014001
  • 1.27.4-gke.900
  • 1.28.1-gke.1050000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3090

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3090

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3090

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3090

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-048

發布日期：2023-12-15
更新日期：2023-12-21
參考資料： CVE-2023-3390

2023 年 12 月 21 日更新： 釐清預設設定的 GKE Autopilot 叢集不受影響。

GKE

更新日期： 2023 年 12 月 21 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3390

2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.27.4-gke.400
  • 1.28.0-gke.100

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.12-gke.900
  • 1.26.5-gke.1014001
  • 1.27.4-gke.900
  • 1.28.1-gke.1050000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3390

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3390

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3390

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3390

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-047

發布日期： 2023-12-14

GKE

說明 嚴重性

如果攻擊者入侵 Fluent Bit 記錄容器，就能結合該存取權和 Cloud Service Mesh (在已啟用該服務的叢集上) 所需的高權限，進而提升叢集權限。Fluent Bit 和 Cloud Service Mesh 的問題已獲得解決，修正程式現已推出。這些漏洞無法在 GKE 中單獨遭到利用，必須先遭到入侵。我們目前未發現任何濫用這些安全漏洞的案例。

這些問題是透過安全漏洞獎勵計畫回報。

該怎麼辦？

下列 GKE 版本已更新程式碼，修正 Fluent Bit 中的這些安全漏洞，並適用於受管理 Cloud Service Mesh 的使用者。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和節點集區至下列 GKE 版本或更新版本：

  • 1.25.16-gke.1020000
  • 1.26.10-gke.1235000
  • 1.27.7-gke.1293000
  • 1.28.4-gke.1083000

最新版的發布管道功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布通路的預設版本為止。

如果叢集使用叢集內 Cloud Service Mesh，您必須手動升級至下列任一版本 (版本資訊)：

  • 1.17.8-asm.8
  • 1.18.6-asm.2
  • 1.19.5-asm.4

這個修補程式修正了哪些安全漏洞？

如要利用本公告所述的安全性弱點，攻擊者必須入侵 Fluent Bit 記錄容器。我們不瞭解 Fluent Bit 中有任何現有安全漏洞，會導致權限提升的先決條件。我們已修補這些安全漏洞，並採取強化措施，防止日後發生潛在的完整攻擊鏈。

GKE 會使用 Fluent Bit 處理叢集上執行工作負載的記錄。此外，我們也設定了 GKE 上的 Fluent Bit，以便收集 Cloud Run 工作負載的記錄。設定用於收集這些記錄的磁碟區掛接作業，會授予 Fluent Bit 存取權，讓該工具能取得節點上其他 Pod 的 Kubernetes 服務帳戶權杖。研究人員利用這項存取權，發現已啟用 Cloud Service Mesh 的叢集具有高權限服務帳戶權杖。

Cloud Service Mesh 需要高權限，才能對叢集設定進行必要修改，包括建立及刪除 Pod 的權限。研究人員使用 Cloud Service Mesh 的具備權限 Kubernetes 服務帳戶權杖，建立具備叢集管理員權限的新 Pod，藉此提升初始遭入侵的權限。

我們已移除 Fluent Bit 對服務帳戶權杖的存取權，並重新設計 Cloud Service Mesh 的功能，以移除超額權限。

 中

VMware 中的 GKE

說明 嚴重性

只有使用 Cloud Service Mesh 的 GKE on VMware 叢集會受到影響。

該怎麼辦？

如果叢集使用叢集內 Cloud Service Mesh，您必須手動升級至下列任一版本 (版本資訊)：

  • 1.17.8-asm.8
  • 1.18.6-asm.2
  • 1.19.5-asm.4

這個修補程式修正了哪些安全漏洞？

如要利用本公告所述的安全漏洞，攻擊者必須先入侵或以其他方式突破容器，或在叢集節點上取得根層級存取權。我們目前並未發現任何現有安全漏洞，會導致權限提升的先決條件。我們已修補這些安全漏洞，並採取強化措施，防止日後發生潛在的完整攻擊鏈。

Cloud Service Mesh 需要高權限，才能對叢集設定進行必要修改，包括建立及刪除 Pod 的權限。研究人員使用 Cloud Service Mesh 的具備權限 Kubernetes 服務帳戶權杖，建立具備叢集管理員權限的新 Pod，藉此提升初始遭入侵的權限。

我們重新設計了 Cloud Service Mesh 的功能，移除了過多的權限。

 中

GKE on AWS

說明 嚴重性

只有使用 Cloud Service Mesh 的 GKE on AWS 叢集會受到影響。

該怎麼辦？

如果叢集使用叢集內 Cloud Service Mesh，您必須手動升級至下列任一版本 (版本資訊)：

  • 1.17.8-asm.8
  • 1.18.6-asm.2
  • 1.19.5-asm.4

這個修補程式修正了哪些安全漏洞？

如要利用本公告所述的安全漏洞，攻擊者必須先入侵或以其他方式突破容器，或在叢集節點上取得根層級存取權。我們目前並未發現任何現有安全漏洞，會導致權限提升的先決條件。我們已修補這些安全漏洞，並採取強化措施，防止日後發生潛在的完整攻擊鏈。

Cloud Service Mesh 需要高權限，才能對叢集設定進行必要修改，包括建立及刪除 Pod 的權限。研究人員使用 Cloud Service Mesh 的具備權限 Kubernetes 服務帳戶權杖，建立具備叢集管理員權限的新 Pod，藉此提升初始遭入侵的權限。

我們重新設計了 Cloud Service Mesh 的功能，移除了過多的權限。

 中

GKE on Azure

說明 嚴重性

只有使用 Cloud Service Mesh 的 Azure 叢集上的 GKE 會受到影響。

該怎麼辦？

如果叢集使用叢集內 Cloud Service Mesh，您必須手動升級至下列任一版本 (版本資訊)：

  • 1.17.8-asm.8
  • 1.18.6-asm.2
  • 1.19.5-asm.4

這個修補程式修正了哪些安全漏洞？

如要利用本公告所述的安全漏洞，攻擊者必須先入侵或以其他方式突破容器，或在叢集節點上取得根層級存取權。我們目前並未發現任何現有安全漏洞，會導致權限提升的先決條件。我們已修補這些安全漏洞，並採取強化措施，防止日後發生潛在的完整攻擊鏈。

Cloud Service Mesh 需要高權限，才能對叢集設定進行必要修改，包括建立及刪除 Pod 的權限。研究人員使用 Cloud Service Mesh 的具備權限 Kubernetes 服務帳戶權杖，建立具備叢集管理員權限的新 Pod，藉此提升初始遭入侵的權限。

我們重新設計了 Cloud Service Mesh 的功能，移除了過多的權限。

 中

Bare Metal 中的 GKE

說明 嚴重性

只有使用 Cloud Service Mesh 的 GKE on Bare Metal 叢集會受到影響。

該怎麼辦？

如果叢集使用叢集內 Cloud Service Mesh，您必須手動升級至下列任一版本 (版本資訊)：

  • 1.17.8-asm.8
  • 1.18.6-asm.2
  • 1.19.5-asm.4

這個修補程式修正了哪些安全漏洞？

如要利用本公告所述的安全漏洞，攻擊者必須先入侵或以其他方式突破容器，或在叢集節點上取得根層級存取權。我們目前並未發現任何現有安全漏洞，會導致權限提升的先決條件。我們已修補這些安全漏洞，並採取強化措施，防止日後發生潛在的完整攻擊鏈。

Anthos 服務網格需要高權限，才能對叢集設定進行必要修改，包括建立及刪除 Pod。研究人員使用 Cloud Service Mesh 的具備權限 Kubernetes 服務帳戶權杖，建立具備叢集管理員權限的新 Pod，藉此提升初始遭入侵的權限。

我們重新設計了 Cloud Service Mesh 的功能，移除了過多的權限。

 中

GCP-2023-046

發布日期：2023-11-22
更新日期：2024-03-04
參考資料： CVE-2023-5717

2024 年 3 月 4 日更新： 新增 VMware 中 GKE 的 GKE 版本。

2024 年 1 月 22 日更新： 新增 Ubuntu 修補程式版本。

GKE

更新日期： 2024 年 1 月 22 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-5717

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2024 年 1 月 22 日更新：以下次要版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.24.17-gke.2472000
  • 1.25.16-gke.1268000
  • 1.26.12-gke.1111000
  • 1.27.9-gke.1092000
  • 1.28.5-gke.1217000
  • 1.29.0-gke.138100

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.24.17-gke.2113000
  • 1.25.14-gke.1421000
  • 1.25.15-gke.1083000
  • 1.26.10-gke.1073000
  • 1.27.7-gke.1088000
  • 1.28.3-gke.1203000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

更新日期： 2024 年 2 月 29 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-5717

該怎麼辦？

2024 年 3 月 4 日更新：下列版本的 VMware 上的 GKE 已更新程式碼，可修正這項安全漏洞。將叢集升級至下列版本或更新版本：

  • 1.28.200
  • 1.16.5
  • 1.15.8
 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-5717

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-5717

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-5717

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-045

發布日期：2023-11-20
更新日期：2023-12-21
參考資料： CVE-2023-5197

2023 年 12 月 21 日更新： 釐清預設設定的 GKE Autopilot 叢集不受影響。

GKE

更新日期： 2023 年 12 月 21 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-5197

2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列子版本會受到影響。 升級 Container-Optimized OS 節點集區，使其採用下列修補程式版本或更新版本：

  • 1.25.13-gke.1002003
  • 1.26.9-gke.1514000
  • 1.27.6-gke.1513000
  • 1.28.2-gke.1164000

下列子版本會受到影響。 升級 Ubuntu 節點集區至下列任一修補程式版本或更新版本：

  • 1.24.16-gke.1005001
  • 1.25.13-gke.1002003
  • 1.26.9-gke.1548000
  • 1.27.7-gke.1039000
  • 1.28.3-gke.1061000

如果叢集在自己的發布版本中執行相同的子版本，就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-5197

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-5197

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-5197

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-5197

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-042

發布日期：2023-11-13
更新日期：2023-11-15
參考資料： CVE-2023-4147

2023 年 11 月 15 日更新： 釐清只有列出的子版本需要升級至對應的 GKE 修補版本。

GKE

更新日期： 2023 年 11 月 15 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4147

GKE 標準叢集會受到影響。GKE Autopilot 叢集不受影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2023 年 11 月 15 日更新：如果節點使用這個次要版本，您只需要升級至本公告列出的其中一個修補版本。舉例來說，如果您使用 GKE 1.27 版，就應升級至對應的修補版本。不過，如果您使用 GKE 1.24 版，則不需要升級至修補版本。

升級 Container-Optimized OS 節點集區至下列版本或更新版本：

  • 1.27.5-gke.200
  • 1.28.2-gke.1157000

將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.25.14-gke.1421000
  • 1.26.9-gke.1437000
  • 1.27.6-gke.1248000
  • 1.28.2-gke.1157000

如果叢集在自己的發布版本中執行相同的子版本，您就可以套用較新發布版本的修補程式版本。這項功能可讓您保護節點，直到修補程式版本成為發布管道的預設版本為止。詳情請參閱「從較新的管道執行修補程式版本」。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4147

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4147

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4147

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4147

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-041

發布日期：2023 年 11 月 8 日
更新日期：2023 年 11 月 21 日、2023 年 12 月 5 日、2023 年 12 月 21 日
參考資料： CVE-2023-4004

2023 年 12 月 21 日更新： 釐清預設設定的 GKE Autopilot 叢集不受影響。

2023 年 12 月 5 日更新： 新增 Container-Optimized OS 節點集區適用的 GKE 版本。

2023 年 11 月 21 日更新： 明確指出只有列出的子版本需要升級至對應的 GKE 修補程式版本。

GKE

更新日期： 2023 年 11 月 21 日、2023 年 12 月 5 日、2023 年 12 月 21 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4004

2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

Autopilot 叢集會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2023 年 12 月 5 日更新： 先前缺少部分 GKE 版本。以下是更新後的 GKE 版本清單，您可以將 Container-Optimized OS 更新至這些版本：

  • 1.24.17-gke.200 以上版本
  • 1.25.13-gke.200 以上版本
  • 1.26.8-gke.200 以上版本
  • 1.27.4-gke.2300 以上版本
  • 1.28.1-gke.1257000 以上版本

2023 年 11 月 21 日更新： 如果節點使用本公告列出的次要版本，您只需要升級至其中一個修補程式版本。未列出的子版本不受影響。

將 Container-Optimized OS 節點集區升級至下列版本或更新版本：

  • 1.27.4-gke.2300
  • 1.28.1-gke.1257000

將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.13-gke.700
  • 1.26.8-gke.700
  • 1.27.5-gke.700
  • 1.28.1-gke.1050000
 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4004

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4004

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4004

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4004

該怎麼辦？

您無須採取任何行動。Bare Metal 上的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-040

發布日期：2023-11-06
更新日期：2023-11-21、2023-12-21
參考資料： CVE-2023-4921

2023 年 12 月 21 日更新： 釐清預設設定的 GKE Autopilot 叢集不受影響。

2023 年 11 月 21 日更新： 明確指出只有列出的子版本需要升級至對應的 GKE 修補程式版本。

GKE

更新日期： 2023 年 11 月 21 日、2023 年 12 月 21 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4921

2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

Autopilot 叢集會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2023 年 11 月 21 日更新： 如果節點使用本公告列出的次要版本，您只需要升級至其中一個修補程式版本。未列出的子版本不受影響。

將 Container-Optimized OS 節點集區升級至下列版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.14-gke.1351000
  • 1.26.9-gke.1345000
  • 1.27.6-gke.1389000

將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.24.17-gke.2186000
  • 1.25.15-gke.1016000
  • 1.26.9-gke.1548000
  • 1.27.6-gke.1551000
  • 1.28.2-gke.1256000
 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4921

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4921

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4921

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4921

該怎麼辦？

您無須採取任何行動。Bare Metal 上的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-039

發布日期：2023-11-06
更新日期：2023-11-21、2023-11-16
參考資料： CVE-2023-4622

2023 年 11 月 21 日更新： 明確指出只有列出的子版本需要升級至對應的 GKE 修補程式版本。

2023 年 11 月 16 日更新： 與本安全公告相關的安全漏洞為 CVE-2023-4622。在舊版安全公告中，CVE-2023-4623 誤列為安全漏洞。

GKE

更新日期： 2023 年 11 月 21 日、2023 年 11 月 16 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4623

Autopilot 叢集會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2023 年 11 月 21 日更新： 如果節點使用本公告列出的次要版本，您只需要升級至其中一個修補程式版本。未列出的子版本不受影響。

將 Container-Optimized OS 節點集區升級至下列版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.14-gke.1351000
  • 1.26.9-gke.1345000
  • 1.27.5-gke.1647000

將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.24.17-gke.2186000
  • 1.25.15-gke.1016000
  • 1.26.9-gke.1548000
  • 1.27.6-gke.1551000
  • 1.28.2-gke.1256000
 高

VMware 中的 GKE

更新日期： 2023 年 11 月 16 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4623

該怎麼辦？

 待處理

GKE on AWS

更新日期： 2023 年 11 月 16 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4623

該怎麼辦？

 待處理

GKE on Azure

更新日期： 2023 年 11 月 16 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4623

該怎麼辦？

 待處理

Bare Metal 中的 GKE

更新日期： 2023 年 11 月 16 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4623

該怎麼辦？

您無須採取任何行動。Bare Metal 上的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-038

發布日期：2023-11-06
更新日期：2023-11-21、2023-12-21
參考資料： CVE-2023-4623

2023 年 12 月 21 日更新： 釐清預設設定的 GKE Autopilot 叢集不受影響。

2023 年 11 月 21 日更新： 明確指出只有列出的子版本需要升級至對應的 GKE 修補程式版本。

GKE

更新日期： 2023 年 11 月 21 日、2023 年 12 月 21 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4623

2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

Autopilot 叢集會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2023 年 11 月 21 日更新： 如果節點使用本公告列出的次要版本，您只需要升級至其中一個修補程式版本。未列出的子版本不受影響。

將 Container-Optimized OS 節點集區升級至下列版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.14-gke.1351000
  • 1.26.9-gke.1345000
  • 1.27.6-gke.1389000

將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.24.17-gke.2186000
  • 1.25.15-gke.1016000
  • 1.26.9-gke.1548000
  • 1.27.6-gke.1551000
  • 1.28.2-gke.1256000
 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4623

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4623

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4623

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4623

該怎麼辦？

您無須採取任何行動。Bare Metal 上的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-037

發布日期：2023-11-06
更新日期：2023-11-21、2023-12-21
參考資料： CVE-2023-4015

2023 年 12 月 21 日更新： 釐清預設設定的 GKE Autopilot 叢集不受影響。

2023 年 11 月 21 日更新： 明確指出只有列出的子版本需要升級至對應的 GKE 修補程式版本。

GKE

更新日期： 2023 年 11 月 21 日、2023 年 12 月 21 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4015

2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

Autopilot 叢集會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2023 年 11 月 21 日更新： 如果節點使用本公告列出的次要版本，您只需要升級至其中一個修補程式版本。未列出的子版本不受影響。

將 Container-Optimized OS 節點集區升級至下列版本或更新版本：

  • 1.27.5-gke.1647000

將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.13-gke.700
  • 1.26.8-gke.700
  • 1.27.5-gke.700
  • 1.28.1-gke.1050000
 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4015

該怎麼辦？

 待處理

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4015

該怎麼辦？

 待處理

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4015

該怎麼辦？

 待處理

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4015

該怎麼辦？

您無須採取任何行動。Bare Metal 上的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 無

GCP-2023-035

發布日期：2023 年 10 月 26 日
更新日期：2023 年 11 月 21 日、2023 年 12 月 21 日
參考資料： CVE-2023-4206、CVE-2023-4207、CVE-2023-4208、CVE-2023-4128

2023 年 12 月 21 日更新： 釐清預設設定的 GKE Autopilot 叢集不受影響。

2023 年 11 月 21 日更新： 明確指出只有列出的子版本需要升級至對應的 GKE 修補程式版本。

GKE

更新日期： 2023 年 11 月 21 日、2023 年 12 月 21 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

Autopilot 叢集會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

2023 年 11 月 21 日更新： 如果節點使用本公告列出的次要版本，您只需要升級至其中一個修補程式版本。未列出的子版本不受影響。

將 Container-Optimized OS 節點集區升級至下列版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.13-gke.1008000
  • 1.26.8-gke.1647000
  • 1.27.5-gke.200

將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.24.14-gke.1027001
  • 1.25.13-gke.1706000
  • 1.26.8-gke.1647000
  • 1.27.5-gke.1648000
  • 1.28.1-gke.1050000
 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

該怎麼辦？

 高

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

該怎麼辦？

 高

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

該怎麼辦？

 高

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-4206
  • CVE-2023-4207
  • CVE-2023-4208
  • CVE-2023-4128

該怎麼辦？

您無須採取任何行動。Bare Metal 上的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

 高

GCP-2023-033

發布日期：2023-10-24
更新日期：2023-11-21、2023-12-21
參考資料： CVE-2023-3777

2023 年 12 月 21 日更新： 釐清預設設定中的 GKE Autopilot 叢集不受影響，GKE Sandbox 工作負載也不受影響。

2023 年 11 月 21 日更新： 明確指出只有列出的子版本需要升級至對應的 GKE 修補程式版本。

GKE

更新日期： 2023 年 11 月 21 日、2023 年 12 月 21 日

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3777

2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。GKE Sandbox 工作負載也不受影響。

Autopilot 叢集會受到影響。

使用 GKE Sandbox 的叢集會受到影響。

該怎麼辦？

2023 年 11 月 21 日更新： 如果節點使用本公告列出的次要版本，您只需要升級至其中一個修補程式版本。未列出的子版本不受影響。

將 Container-Optimized OS 節點集區升級至下列版本或更新版本：

  • 1.24.16-gke.2200
  • 1.25.12-gke.2200
  • 1.26.7-gke.2200
  • 1.27.4-gke.2300

將 Ubuntu 節點集區升級至下列版本或更新版本：

  • 1.24.17-gke.700
  • 1.25.13-gke.700
  • 1.26.8-gke.700
  • 1.27.5-gke.700
  • 1.28.0-gke.100
 高

VMware 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3777

該怎麼辦？

GKE on AWS

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3777

該怎麼辦？

GKE on Azure

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3777

該怎麼辦？

Bare Metal 中的 GKE

說明 嚴重性

我們在 Linux 核心中發現下列安全漏洞，這些漏洞可能會導致 Container-Optimized OS 和 Ubuntu 節點的權限遭到提升。

  • CVE-2023-3777

該怎麼辦？

您無須採取任何行動。Bare Metal 中的 GKE 不會受到影響，因為其發行版本未綁定作業系統。

GCP-2023-030

發布日期：2023-10-10
更新日期：2024-03-20
參考資料：CVE-2023-44487CVE-2023-39325

2024 年 3 月 20 日更新：新增 GKE on AWS 和 GKE on Azure 的修補程式版本
2024 年 2 月 14 日更新：新增 GKE on VMware 的修補程式版本
2023 年 11 月 9 日更新：新增 CVE-2023-39325。更新 GKE 版本，並提供 CVE-2023-44487 和 CVE-2023-39325 的最新修補程式。

GKE

更新日期： 2023 年 11 月 9 日

說明 嚴重性

最近在 HTTP/2 通訊協定的多個實作項目中發現阻斷服務 (DoS) 安全漏洞 (CVE-2023-44487)，包括 Kubernetes 使用的 golang HTTP 伺服器。這個安全漏洞可能會導致 Google Kubernetes Engine (GKE) 控制層發生 DoS 攻擊。設定授權網路的 GKE 叢集會受到保護，網路存取權會受到限制，但其他所有叢集都會受到影響。

該怎麼辦？

2023 年 11 月 9 日更新：我們已發布新版 GKE，其中包含 Go 和 Kubernetes 安全性修補程式，您現在可以更新叢集。我們將在接下來幾週內，對 GKE 控制平面進行其他變更，進一步減輕這個問題的影響。

下列 GKE 版本已更新，並提供 CVE-2023-44487 和 CVE-2023-39325 的修補程式：

  • 1.24.17-gke.2155000
  • 1.25.14-gke.1474000
  • 1.26.10-gke.1024000
  • 1.27.7-gke.1038000
  • 1.28.3-gke.1090000

建議您盡快採取下列緩解措施，並在最新修補程式版本發布後升級。

Golang 修補程式將於 10 月 10 日發布。我們會在這些修補程式推出後，建構並驗證新的 Kubernetes API 伺服器，然後發布 GKE 修補程式版本。GKE 版本發布後，我們會更新這項公告，提供控制層升級版本指南，並在適用於叢集時，於 GKE GKE 安全防護機制中顯示修補程式。如要在管道有修補程式時收到 Pub/Sub 通知，請啟用叢集通知。

發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

設定控制層存取權的授權網路，以減輕影響：

您可以為現有叢集新增授權網路。詳情請參閱「現有叢集的授權網路」。

除了您新增的授權網路外，還有預設的 IP 位址可存取 GKE 控制層。如要進一步瞭解這些位址，請參閱「存取控制層端點」。以下項目總結了叢集隔離：

  • 設定 --master-authorized-networks 的私人叢集，以及設定 --master-authorized-networks 和 --no-enable-google-cloud 的 PSC 叢集，是隔離程度最高的叢集。
  • 如果舊版公開叢集已設定 --master-authorized-networks，而 PSC 叢集已設定 --master-authorized-networks 和 --enable-google-cloud (預設)，則可透過下列方式存取：
    • Google Cloud中的所有 Compute Engine VM 的公開 IP 位址
    • Google Cloud 平台 IP 位址

這個修補程式修正了哪些安全漏洞？

安全漏洞 CVE-2023-44487 允許攻擊者對 GKE 控制層節點發動阻斷服務攻擊。

 高

VMware 中的 GKE

更新日期： 2024 年 2 月 14 日

說明 嚴重性

最近在 HTTP/2 通訊協定的多個實作項目中發現阻斷服務 (DoS) 安全漏洞 (CVE-2023-44487)，包括 Kubernetes 使用的 golang HTTP 伺服器。這個安全漏洞可能會導致 Kubernetes 控制層發生 DoS 攻擊。根據預設，GKE on VMware 會建立無法直接存取網際網路的 Kubernetes 叢集，因此不會受到這個安全漏洞影響。

該怎麼辦？

2024 年 2 月 14 日更新： 下列版本的 GKE on VMware 已更新程式碼，修正這個安全漏洞。將叢集升級至下列修補程式版本或更新版本：

  • 1.28.100
  • 1.16.6
  • 1.15.8

如果您已將 GKE on VMware Kubernetes 叢集設定為直接存取網際網路或其他不受信任的網路，建議您與防火牆管理員合作，封鎖或限制這類存取權。

建議您盡快升級至最新修補程式版本 (如有)。

Golang 修補程式將於 10 月 10 日發布。我們會在這些修補程式推出後，建構並驗證新的 Kubernetes API 伺服器，然後發布 GKE 修補程式版本。GKE 版本發布後，我們會更新這份公告，說明控制層應升級至哪個版本。

這個修補程式修正了哪些安全漏洞？

這項安全漏洞 (CVE-2023-44487) 可讓攻擊者對 Kubernetes 控制層節點執行阻斷服務攻擊。

 高

GKE on AWS

說明 嚴重性

最近在 HTTP/2 通訊協定的多個實作項目中發現阻斷服務 (DoS) 安全漏洞 (CVE-2023-44487)，包括 Kubernetes 使用的 golang HTTP 伺服器。這個安全漏洞可能會導致 Kubernetes 控制層發生 DoS 攻擊。根據預設，AWS 上的 GKE 會建立無法直接存取網際網路的 Kubernetes 私人叢集，因此不會受到這項安全漏洞影響。

該怎麼辦？

2024 年 3 月 20 日更新：下列 GKE on AWS 版本已更新，並提供 CVE-2023-44487 的修補程式：

  • 1.26.10-gke.600
  • 1.27.7-gke.600
  • 1.28.3-gke.700

如果您已將 GKE on AWS 設定為直接存取網際網路或其他不受信任的網路，建議與防火牆管理員合作，封鎖或限制這類存取權。

建議您盡快升級至最新修補程式版本 (如有)。

Golang 修補程式將於 10 月 10 日發布。我們會在這些修補程式推出後，建構並驗證新的 Kubernetes API 伺服器，然後發布 GKE 修補程式版本。GKE 版本發布後，我們會更新這份公告，說明控制層應升級至哪個版本。

這個修補程式修正了哪些安全漏洞？

這項安全漏洞 (CVE-2023-44487) 可讓攻擊者對 Kubernetes 控制層節點執行阻斷服務攻擊。

 高

GKE on Azure

說明 嚴重性

最近在 HTTP/2 通訊協定的多個實作項目中發現阻斷服務 (DoS) 安全漏洞 (CVE-2023-44487)，包括 Kubernetes 使用的 golang HTTP 伺服器。這個安全漏洞可能會導致 Kubernetes 控制層發生 DoS 攻擊。根據預設，Azure 上的 GKE 會建立無法直接連上網際網路的私人 Kubernetes 叢集，因此可避免受到這個安全漏洞影響。

該怎麼辦？

2024 年 3 月 20 日更新：下列 Azure 上的 GKE 版本已更新，並提供 CVE-2023-44487 的修補程式：

  • 1.26.10-gke.600
  • 1.27.7-gke.600
  • 1.28.3-gke.700

如果您已將 Azure 叢集上的 GKE 設定為直接存取網際網路或其他不受信任的網路，建議您與防火牆管理員合作，封鎖或限制這類存取權。

建議您盡快升級至最新修補程式版本 (如有)。

Golang 修補程式將於 10 月 10 日發布。我們會在這些修補程式推出後，建構並驗證新的 Kubernetes API 伺服器，然後發布 GKE 修補程式版本。GKE 版本發布後，我們會更新這份公告，提供控制層升級版本的相關指引。

這個修補程式修正了哪些安全漏洞？

這項安全漏洞 (CVE-2023-44487) 可讓攻擊者對 Kubernetes 控制層節點執行阻斷服務攻擊。

 高

Bare Metal 中的 GKE

說明 嚴重性

最近在 HTTP/2 通訊協定的多個實作項目中發現阻斷服務 (DoS) 安全漏洞 (CVE-2023-44487)，包括 Kubernetes 使用的 golang HTTP 伺服器。這個安全漏洞可能會導致 Kubernetes 控制層發生 DoS 攻擊。根據預設，Anthos on Bare Metal 會建立無法直接存取網際網路的 Kubernetes 叢集，因此不會受到這項安全漏洞影響。

該怎麼辦？

如果您已將 Anthos on Bare Metal Kubernetes 叢集設為直接存取網際網路或其他不受信任的網路，建議您與防火牆管理員合作，封鎖或限制這類存取權。詳情請參閱 Bare Metal 上的 GKE 安全性總覽。

建議您盡快升級至最新修補程式版本 (如有)。

Golang 修補程式將於 10 月 10 日發布。我們會在這些修補程式推出後，建構並驗證新的 Kubernetes API 伺服器，然後發布 GKE 修補程式版本。GKE 版本發布後，我們會更新這份公告，說明控制層應升級至哪個版本。

這個修補程式修正了哪些安全漏洞？

這項安全漏洞 (CVE-2023-44487) 可讓攻擊者對 Kubernetes 控制層節點執行阻斷服務攻擊。

 高

GCP-2023-026

發布日期：2023 年 9 月 6 日
參考資料：CVE-2023-3676、 CVE-2023-3955、 CVE-2023-3893

GKE

說明 嚴重性

我們在 Kubernetes 中發現三個安全漏洞 (CVE-2023-3676、CVE-2023-3955、CVE-2023-3893)，如果使用者可以在 Windows 節點上建立 Pod，就可能在這些節點上取得管理員權限。這些安全漏洞會影響 Kubelet 和 Kubernetes CSI Proxy 的 Windows 版本。

只有包含 Windows 節點的 GKE 叢集會受到影響。

該怎麼辦？

下列 GKE 版本已更新程式碼，可修正這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和節點集區至下列其中一個 GKE 版本：

  • 1.24.17-gke.200
  • 1.25.13-gke.200
  • 1.26.8-gke.200
  • 1.27.5-gke.200
  • 1.28.1-gke.200

GKE 控制層將於 2023 年 9 月 4 日當週更新，將 csi-proxy 更新至 1.1.3 版。如果您在更新控制層之前更新節點，則更新後必須再次更新節點，才能使用新的 Proxy。即使不變更節點版本，您也可以再次更新節點，方法是執行 gcloud container clusters upgrade 指令，並傳遞 --cluster-version 旗標，其中包含節點集區已在執行的相同 GKE 版本。如要使用此解決方法，必須使用 gcloud CLI。 請注意，無論維護期間為何，系統都會進行更新。

最近推出的 發布管道 功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能確保節點安全，直到新版本成為特定發布通路的預設版本為止。

這個修補程式修正了哪些安全漏洞？

利用 CVE-2023-3676，惡意行為人可以製作含有 PowerShell 指令的主機路徑字串，Kubelet 缺少輸入內容清除功能，會將這個精心設計的路徑字串做為引數傳遞至指令執行器，並將字串的各個部分當做個別指令執行。這些指令會以與 Kubelet 相同的管理員權限執行。

透過 CVE-2023-3955，Kubelet 會授予可建立 Pod 的使用者權限，讓他們能以與 Kubelet 代理程式相同的權限層級 (即具備權限的權限) 執行程式碼。

CVE-2023-3893 也有類似的輸入內容清理不足問題，因此如果使用者能在執行 kubernetes-csi-proxy 的 Windows 節點上建立 Pod，就能在這些節點上取得管理員權限。

Kubernetes 稽核記錄可用於偵測是否有人利用這個安全漏洞。Pod 建立的事件內含 PowerShell 指令，強烈顯示遭到攻擊。如果 ConfigMap 和 Secret 包含嵌入式 PowerShell 指令，並掛接至 Pod，也強烈表示遭到濫用。

 高

VMware 中的 GKE

說明 嚴重性

我們在 Kubernetes 中發現三個安全漏洞 (CVE-2023-3676、CVE-2023-3955、CVE-2023-3893)，如果使用者可以在 Windows 節點上建立 Pod，就可能在這些節點上取得管理員權限。這些安全漏洞會影響 Kubelet 和 Kubernetes CSI Proxy 的 Windows 版本。

只有包含 Windows 節點的叢集會受到影響。

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

利用 CVE-2023-3676，惡意行為人可以製作含有 PowerShell 指令的主機路徑字串，Kubelet 缺少輸入內容清除功能，會將這個精心設計的路徑字串做為引數傳遞至指令執行器，並將字串的各個部分當做個別指令執行。這些指令會以與 Kubelet 相同的管理員權限執行。

透過 CVE-2023-3955，Kubelet 會授予可建立 Pod 的使用者權限，讓他們能以與 Kubelet 代理程式相同的權限層級 (即具備權限的權限) 執行程式碼。

CVE-2023-3893 也有類似的輸入內容清理不足問題，因此如果使用者能在執行 kubernetes-csi-proxy 的 Windows 節點上建立 Pod，就能在這些節點上取得管理員權限。

Kubernetes 稽核記錄可用於偵測是否有人利用這個安全漏洞。Pod 建立的事件內含嵌入式 PowerShell 指令，強烈顯示遭到攻擊。如果 ConfigMap 和 Secret 包含嵌入式 PowerShell 指令，並掛接至 Pod，也強烈表示遭到濫用。

 高

GKE on AWS

說明 嚴重性

我們在 Kubernetes 中發現三個安全漏洞 (CVE-2023-3676、CVE-2023-3955、CVE-2023-3893)，如果使用者可以在 Windows 節點上建立 Pod，就可能在這些節點上取得管理員權限。這些安全漏洞會影響 Kubelet 和 Kubernetes CSI Proxy 的 Windows 版本。

該怎麼辦？

GKE on AWS 不受這些 CVE 影響。您無須採取任何行動。

 無

GKE on Azure

說明 嚴重性

我們在 Kubernetes 中發現三個安全漏洞 (CVE-2023-3676、CVE-2023-3955、CVE-2023-3893)，如果使用者可以在 Windows 節點上建立 Pod，就可能在這些節點上取得管理員權限。這些安全漏洞會影響 Kubelet 和 Kubernetes CSI Proxy 的 Windows 版本。

該怎麼辦？

Azure 上的 GKE 不受這些 CVE 影響。您無須採取任何行動。

 無

Bare Metal 中的 GKE

說明 嚴重性

我們在 Kubernetes 中發現三個安全漏洞 (CVE-2023-3676、CVE-2023-3955、CVE-2023-3893)，如果使用者可以在 Windows 節點上建立 Pod，就可能在這些節點上取得管理員權限。這些安全漏洞會影響 Kubelet 和 Kubernetes CSI Proxy 的 Windows 版本。

該怎麼辦？

GKE on Bare Metal 不受這些 CVE 影響。您無須採取任何行動。

 無

GCP-2023-018

發布日期：2023 年 6 月 27 日
參考資料：CVE-2023-2235

GKE

說明 嚴重性

Linux 核心最近發現一個新安全漏洞 (CVE-2023-2235)，可能導致節點權限提升。GKE Autopilot 節點一律使用 Container-Optimized OS 節點映像檔，因此 GKE Autopilot 叢集會受到影響。執行 Container-Optimized OS 節點映像檔的 GKE Standard 叢集 (版本 1.25 以上) 會受到影響。

如果 GKE 叢集只執行 Ubuntu 節點映像檔、執行 1.25 之前的版本，或使用 GKE Sandbox，就不會受到影響。

該怎麼辦？

下列 GKE 版本已更新程式碼，修正這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和節點集區至下列其中一個 GKE 版本：

  • 1.25.9-gke.1400
  • 1.26.4-gke.1500
  • 1.27.1-gke.2400

發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

這個修補程式修正了哪些安全漏洞？

在 CVE-2023-2235 中，perf_group_detach 函式不會在呼叫 add_event_to_groups() 前檢查事件同層級的 attach_state，但 remove_on_exec 可在從群組中分離前呼叫 list_del_event()，因此可使用懸空指標，導致使用後釋放漏洞。

 高

VMware 中的 GKE

說明 嚴重性

Linux 核心最近發現一個新安全漏洞 (CVE-2023-2235)，可能導致節點權限提升。GKE on VMware 叢集受到影響。

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

在 CVE-2023-2235 中，perf_group_detach 函式不會在呼叫 add_event_to_groups() 前檢查事件同層級的 attach_state，但 remove_on_exec 可在從群組中分離前呼叫 list_del_event()，因此可使用懸空指標，導致使用後釋放漏洞。

 高

GKE on AWS

說明 嚴重性

Linux 核心最近發現一個新安全漏洞 (CVE-2023-2235)，可能導致節點權限提升。GKE on AWS 叢集受到影響。

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

在 CVE-2023-2235 中，perf_group_detach 函式不會在呼叫 add_event_to_groups() 前檢查事件同層級的 attach_state，但 remove_on_exec 可在從群組中分離前呼叫 list_del_event()，因此可使用懸空指標，導致使用後釋放漏洞。

 高

GKE on Azure

說明 嚴重性

Linux 核心最近發現一個新安全漏洞 (CVE-2023-2235)，可能導致節點權限提升。Azure 上的 GKE 叢集會受到影響。

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

在 CVE-2023-2235 中，perf_group_detach 函式不會在呼叫 add_event_to_groups() 前檢查事件同層級的 attach_state，但 remove_on_exec 可在從群組中分離前呼叫 list_del_event()，因此可使用懸空指標，導致使用後釋放漏洞。

 高

Bare Metal 中的 GKE

說明 嚴重性

Linux 核心最近發現一個新安全漏洞 (CVE-2023-2235)，可能會導致節點權限提升。

Google Distributed Cloud Virtual for Bare Metal 不受這項 CVE 影響。

該怎麼辦？

您無須採取任何行動。

 無

GCP-2023-017

發布日期：2023-06-26
更新日期：2023-07-11
參考資料：CVE-2023-31436

2023 年 7 月 11 日更新： 新版 GKE 已更新，內含最新版 Ubuntu，可修補 CVE-2023-31436。

GKE

更新日期： 2023 年 7 月 11 日

說明 嚴重性

Linux 核心最近發現一項新安全漏洞 (CVE-2023-31436)，可能導致節點權限提升。包括 Autopilot 叢集在內的 GKE 叢集都會受到影響。

使用 GKE Sandbox 的 GKE 叢集不受影響。

該怎麼辦？

2023 年 7 月 11 日更新：Ubuntu 修補程式版本現已推出。

下列 GKE 版本已更新，內含可修補 CVE-2023-31436 的最新 Ubuntu 版本：

  • 1.23.17-gke.8200
  • 1.24.14-gke.2600
  • 1.25.10-gke.2700
  • 1.26.5-gke.2700
  • 1.27.2-gke.2700

下列 GKE 版本已更新程式碼，修正這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和節點集區至下列其中一個 GKE 版本：

  • 1.22.17-gke.11400
  • 1.23.17-gke.6800
  • 1.24.14-gke.1200
  • 1.25.10-gke.1200
  • 1.26.5-gke.1200
  • 1.27.2-gke.1200

發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

這個修補程式修正了哪些安全漏洞？

在 CVE-2023-31436 中，我們發現 Linux 核心的流量控制 (QoS) 子系統存在記憶體存取越界缺陷，使用者會以網路裝置的錯誤 MTU 值 (用做 lmax) 觸發 qfq_change_class 函式。本機使用者可利用這個安全漏洞，導致系統當機或提升權限。

 高

VMware 中的 GKE

說明 嚴重性

Linux 核心最近發現一項新安全漏洞 (CVE-2023-31436)，可能導致節點權限提升。GKE on VMware 叢集受到影響。

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

在 CVE-2023-31436 中，我們發現 Linux 核心的流量控制 (QoS) 子系統存在記憶體存取越界缺陷，使用者會以網路裝置的錯誤 MTU 值 (用做 lmax) 觸發 qfq_change_class 函式。本機使用者可利用這個安全漏洞，導致系統當機或提升權限。

 高

GKE on AWS

說明 嚴重性

Linux 核心最近發現一項新安全漏洞 (CVE-2023-31436)，可能導致節點權限提升。GKE on AWS 叢集受到影響。

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

在 CVE-2023-31436 中，我們發現 Linux 核心的流量控制 (QoS) 子系統存在記憶體存取越界缺陷，使用者會以網路裝置的錯誤 MTU 值 (用做 lmax) 觸發 qfq_change_class 函式。本機使用者可利用這個安全漏洞，導致系統當機或提升權限。

 高

GKE on Azure

說明 嚴重性

Linux 核心最近發現一項新安全漏洞 (CVE-2023-31436)，可能導致節點權限提升。Azure 上的 GKE 叢集會受到影響。

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

在 CVE-2023-31436 中，我們發現 Linux 核心的流量控制 (QoS) 子系統存在記憶體存取越界缺陷，使用者會以網路裝置的錯誤 MTU 值 (用做 lmax) 觸發 qfq_change_class 函式。本機使用者可利用這個安全漏洞，導致系統當機或提升權限。

 高

Bare Metal 中的 GKE

說明 嚴重性

Linux 核心最近發現一項新安全漏洞 (CVE-2023-31436)，可能導致節點權限提升。

Google Distributed Cloud Virtual for Bare Metal 不受這項 CVE 影響。

該怎麼辦？

您無須採取任何行動。

 無

GCP-2023-016

發布日期：2023 年 6 月 26 日
參考資料： CVE-2023-27496、 CVE-2023-27488、 CVE-2023-27493、 CVE-2023-27492、 CVE-2023-27491、 CVE-2023-27487

GKE

說明 嚴重性

我們在 Cloud Service Mesh (ASM) 使用的 Envoy 中發現多項安全漏洞。這些問題已在 GCP-2023-002 中分別回報。

GKE 不會隨附 ASM，因此不受這些安全漏洞影響。

該怎麼辦？

如果您已為 GKE 叢集個別安裝 ASM，請參閱 GCP-2023-002。

無

VMware 中的 GKE

說明 嚴重性

我們在 Envoy 中發現多項漏洞 (CVE-2023-27496、CVE-2023-27488、CVE-2023-27493、CVE-2023-27492、CVE-2023-27491、CVE-2023-27487)，而 GKE on VMware 中的 Cloud Service Mesh 使用了 Envoy，因此惡意攻擊者可利用這些漏洞造成阻斷服務或導致 Envoy 停止運作。這些問題已分別回報為 GCP-2023-002，但我們希望確保 GKE Enterprise 客戶更新包含 ASM 的版本。

該怎麼辦？

下列 GKE on VMware 版本已更新程式碼，可修正這個安全漏洞。建議您將管理員和使用者叢集升級至下列其中一個 GKE on VMware 版本：

  • 1.13.8
  • 1.14.5
  • 1.15.1

這個修補程式修正了哪些安全漏洞？

CVE-2023-27496：如果 Envoy 執行時已啟用 OAuth 篩選器，惡意行為人可能會建構要求，導致 Envoy 崩潰，造成阻斷服務。

CVE-2023-27488：攻擊者可利用這項安全漏洞，在使用 ext_authz 時略過授權檢查。

CVE-2023-27493：Envoy 設定也必須包含選項，可新增使用要求輸入內容 (例如對等互連憑證 SAN) 產生的要求標頭。

CVE-2023-27492：攻擊者可以針對啟用 Lua 篩選器的路徑傳送大型要求主體，並觸發當機。

CVE-2023-27491：攻擊者可以傳送特別製作的 HTTP/2 或 HTTP/3 要求，觸發 HTTP/1 上游服務的剖析錯誤。

CVE-2023-27487：標頭 x-envoy-original-path 應為內部標頭，但 Envoy 不會從要求中移除這個標頭，因為要求是從不受信任的用戶端傳送，且要求處理程序才剛開始。

 高

GKE on AWS

說明 嚴重性

Cloud Service Mesh 使用的 Envoy 中發現多項安全漏洞 (CVE-2023-27496、CVE-2023-27488、CVE-2023-27493、 CVE-2023-27492、CVE-2023-27491、CVE-2023-27487)。這些問題已在 GCP-2023-002 中分別回報。

GKE on AWS 不會隨附 ASM，因此不受影響。

該怎麼辦？

您無須採取任何行動。

 無

GKE on Azure

說明 嚴重性

Cloud Service Mesh 使用的 Envoy 中發現多項安全漏洞 (CVE-2023-27496、CVE-2023-27488、CVE-2023-27493、 CVE-2023-27492、CVE-2023-27491、CVE-2023-27487)。這些問題已在 GCP-2023-002 中分別回報。

GKE on Azure 不會隨附 ASM，因此不受影響。

該怎麼辦？

您無須採取任何行動。

 無

Bare Metal 中的 GKE

說明 嚴重性

在 Envoy 中發現多項安全漏洞 (CVE-2023-27496、CVE-2023-27488、CVE-2023-27493、CVE-2023-27492、CVE-2023-27491、CVE-2023-27487)，這些漏洞會導致惡意攻擊者阻斷服務或造成 Envoy 損毀。Envoy 用於 GKE on Bare Metal 中的 Cloud Service Mesh。這些問題已分別回報為 GCP-2023-002，但我們希望確保 GKE Enterprise 客戶更新包含 ASM 的版本。

該怎麼辦？

下列版本的 GKE on Bare Metal 已更新程式碼，修正這個安全漏洞。建議您將管理員和使用者叢集升級至下列任一 GKE on Bare Metal 版本：

  • 1.13.9
  • 1.14.6
  • 1.15.2

這個修補程式修正了哪些安全漏洞？

CVE-2023-27496：如果 Envoy 執行時已啟用 OAuth 篩選器，惡意行為人可能會建構要求，導致 Envoy 崩潰，造成阻斷服務。

CVE-2023-27488：攻擊者可利用這項安全漏洞，在使用 ext_authz 時略過授權檢查。

CVE-2023-27493：Envoy 設定也必須包含選項，可新增使用要求輸入內容 (例如對等互連憑證 SAN) 產生的要求標頭。

CVE-2023-27492：攻擊者可以針對啟用 Lua 篩選器的路徑傳送大型要求主體，並觸發當機。

CVE-2023-27491：攻擊者可以傳送特別製作的 HTTP/2 或 HTTP/3 要求，觸發 HTTP/1 上游服務的剖析錯誤。

CVE-2023-27487：標頭 x-envoy-original-path 應為內部標頭，但 Envoy 不會從要求中移除這個標頭，因為要求是從不受信任的用戶端傳送，且要求處理程序才剛開始。

 高

GCP-2023-015

發布日期：2023 年 6 月 20 日
參考資料：CVE-2023-0468

GKE

說明 嚴重性

Linux 核心 5.15 版最近發現新的安全漏洞 (CVE-2023-0468)，可能導致節點發生阻斷服務。包括 Autopilot 叢集在內的 GKE 叢集都會受到影響。

使用 GKE Sandbox 的 GKE 叢集不受影響。

該怎麼辦？

下列 GKE 版本已更新程式碼，修正這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和節點集區至下列其中一個 GKE 版本：

  • 1.25.7-gke.1200
  • 1.26.2-gke.1200

發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

這個修補程式修正了哪些安全漏洞？

在 CVE-2023-0468 中，Linux 核心的 io_uring 子元件 io_poll_check_events 內，io_uring/poll.c 發現了釋放後使用 (use-after-free) 缺陷。這項缺陷可能會導致空指標取消參照，並可能造成系統當機，進而導致阻斷服務。

 中

VMware 中的 GKE

說明 嚴重性

Linux 核心 5.15 版最近發現新的安全漏洞 (CVE-2023-0468)，可能導致節點發生阻斷服務。

GKE on VMware 使用 Linux Kernel 5.4 版，因此不受這個 CVE 影響。

該怎麼辦？

  • 不需要採取任何行動
 無

GKE on AWS

說明 嚴重性

Linux 核心 5.15 版最近發現新的安全漏洞 (CVE-2023-0468)，可能導致節點發生阻斷服務。

GKE on AWS 不受這項 CVE 影響。

該怎麼辦？

  • 不需要採取任何行動
 無

GKE on Azure

說明 嚴重性

Linux 核心 5.15 版最近發現新的安全漏洞 (CVE-2023-0468)，可能導致節點發生阻斷服務。

Azure 上的 GKE 不受這個 CVE 影響。

該怎麼辦？

  • 不需要採取任何行動
 無

Bare Metal 中的 GKE

說明 嚴重性

Linux 核心 5.15 版最近發現新的安全漏洞 (CVE-2023-0468)，可能導致節點發生阻斷服務。

Google Distributed Cloud Virtual for Bare Metal 不受這項 CVE 影響。

該怎麼辦？

  • 不需要採取任何行動
 無

GCP-2023-014

發布日期：2023 年 6 月 15 日
更新日期：2023 年 8 月 11 日
參考資料：CVE-2023-2727、CVE-2023-2728

2023 年 8 月 11 日更新： 新增 GKE on VMware、GKE on AWS、GKE on Azure 和 GKE on Bare Metal 的修補程式版本

GKE

說明 嚴重性

我們在 Kubernetes 中發現兩個新的安全性問題，使用者可能可以啟動容器，在使用暫時性容器和 ImagePolicyWebhook (CVE-2023-2727) 或 ServiceAccount 許可外掛程式 (CVE-2023-2728) 時，略過政策限制。

GKE 不使用 ImagePolicyWebhook，因此不會受到 CVE-2023-2727 影響。

所有 GKE 版本都可能受到 CVE-2023-2728 影響。

該怎麼辦？

下列 GKE 版本已更新程式碼，修正這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和節點集區至下列其中一個 GKE 版本：

  • 1.27.2-gke.1200
  • 1.26.5-gke.1200
  • 1.25.10-gke.1200
  • 1.24.14-gke.1200
  • 1.23.17-gke.6800

發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能確保節點安全，直到新版本成為特定發布管道的預設版本為止。

這個修補程式修正了哪些安全漏洞？

使用暫時性容器時，使用者可能會透過 CVE-2023-2727 啟動容器，但這些容器使用的映像檔受到 ImagePolicyWebhook 限制。只有在搭配暫時性容器使用 ImagePolicyWebhook 准入外掛程式時，Kubernetes 叢集才會受到影響。您也可以使用驗證 Webhook (例如 Gatekeeper 和 Kyverno) 強制執行相同限制，來減輕這個 CVE 的影響。

在 CVE-2023-2728 中，使用者可能可以啟動容器，略過 ServiceAccount 許可外掛程式強制執行的可掛接密鑰政策 (使用暫時性容器時)。這項政策可確保以服務帳戶執行的 Pod 只能參照服務帳戶密鑰欄位中指定的密鑰。如果符合下列條件，叢集就會受到這個安全漏洞影響：

  • 系統會使用 ServiceAccount 准入外掛程式。
  • 服務帳戶會使用 kubernetes.io/enforce-mountable-secrets 註解。系統不會預設新增這項註解。
  • Pod 使用暫時性容器。
 中

VMware 中的 GKE

更新日期： 2023 年 8 月 11 日

說明 嚴重性

我們在 Kubernetes 中發現兩個新的安全性問題，使用者在使用暫時性容器和 ImagePolicyWebhook (CVE-2023-2727) 或 ServiceAccount 許可外掛程式 (CVE-2023-2728) 時，可能會啟動容器，進而規避政策限制。 Anthos on VMware 不會使用 ImagePolicyWebhook，因此不受 CVE-2023-2727 影響。

所有版本的 VMware 中的 Anthos 都可能受到 CVE-2023-2728 影響。

該怎麼辦？

2023 年 8 月 11 日更新：下列版本的 GKE on VMware 已更新程式碼，修正這項安全漏洞。將管理員和使用者叢集升級至下列其中一個 GKE on VMware 版本：

  • 1.13.10
  • 1.14.6
  • 1.15.3

這個修補程式修正了哪些安全漏洞？

使用暫時性容器時，使用者可能會透過 CVE-2023-2727 啟動容器，但這些容器使用的映像檔受到 ImagePolicyWebhook 限制。只有在搭配暫時性容器使用 ImagePolicyWebhook 准入外掛程式時，Kubernetes 叢集才會受到影響。您也可以使用驗證 Webhook (例如 Gatekeeper 和 Kyverno) 強制執行相同限制，來減輕這個 CVE 的影響。

在 CVE-2023-2728 中，使用者可能可以啟動容器，略過 ServiceAccount 許可外掛程式強制執行的可掛接密鑰政策 (使用暫時性容器時)。這項政策可確保以服務帳戶執行的 Pod 只能參照服務帳戶密鑰欄位中指定的密鑰。如果符合下列條件，叢集就會受到這個安全漏洞影響：

  • 系統會使用 ServiceAccount 准入外掛程式。
  • 服務帳戶會使用 kubernetes.io/enforce-mountable-secrets 註解。系統不會預設新增這項註解。
  • Pod 使用暫時性容器。
 中

GKE on AWS

更新日期： 2023 年 8 月 11 日

說明 嚴重性

我們在 Kubernetes 中發現兩個新的安全性問題，使用者在使用暫時性容器和 ImagePolicyWebhook (CVE-2023-2727) 或 ServiceAccount 許可外掛程式 (CVE-2023-2728) 時，可能會啟動容器，略過政策限制
Anthos on AWS 不會使用 ImagePolicyWebhook，因此不受 CVE-2023-2727 影響。
所有版本的 AWS 中的 Anthos 都可能受到 CVE-2023-2728 的影響。

該怎麼辦？

2023 年 8 月 11 日更新：下列 GKE on AWS 版本已更新程式碼，修正這個安全漏洞。將節點升級至下列 GKE on AWS 版本：

  • 1.15.2

這個修補程式修正了哪些安全漏洞？

使用暫時性容器時，使用者可能會透過 CVE-2023-2727 啟動容器，但這些容器使用的映像檔受到 ImagePolicyWebhook 限制。只有在搭配暫時性容器使用 ImagePolicyWebhook 准入外掛程式時，Kubernetes 叢集才會受到影響。您也可以使用驗證 Webhook (例如 Gatekeeper 和 Kyverno) 強制執行相同限制，來減輕這個 CVE 的影響。

在 CVE-2023-2728 中，使用者可能可以啟動容器，略過 ServiceAccount 許可外掛程式強制執行的可掛接密鑰政策 (使用暫時性容器時)。這項政策可確保以服務帳戶執行的 Pod 只能參照服務帳戶密鑰欄位中指定的密鑰。如果符合下列條件，叢集就會受到這個安全漏洞影響：

  • 系統會使用 ServiceAccount 准入外掛程式。
  • 服務帳戶會使用 kubernetes.io/enforce-mountable-secrets 註解。系統不會預設新增這項註解。
  • Pod 使用暫時性容器。
 中

GKE on Azure

更新日期： 2023 年 8 月 11 日

說明 嚴重性

我們在 Kubernetes 中發現兩個新的安全性問題，使用者在使用暫時性容器和 ImagePolicyWebhook (CVE-2023-2727) 或 ServiceAccount 許可外掛程式 (CVE-2023-2728) 時，可能會啟動容器，略過政策限制
Anthos on Azure 不會使用 ImagePolicyWebhook，因此不受 CVE-2023-2727 影響。
所有版本的 Anthos on Azure 都可能受到 CVE-2023-2728 影響。

該怎麼辦？

2023 年 8 月 11 日更新：Azure 上的 GKE 已更新下列版本，修正這個安全漏洞。將節點升級至下列 GKE on Azure 版本：

  • 1.15.2

這個修補程式修正了哪些安全漏洞？

使用暫時性容器時，使用者可能會透過 CVE-2023-2727 啟動容器，但這些容器使用的映像檔受到 ImagePolicyWebhook 限制。只有在搭配暫時性容器使用 ImagePolicyWebhook 准入外掛程式時，Kubernetes 叢集才會受到影響。您也可以使用驗證 Webhook (例如 Gatekeeper 和 Kyverno) 強制執行相同限制，來減輕這個 CVE 的影響。

在 CVE-2023-2728 中，使用者可能可以啟動容器，略過 ServiceAccount 許可外掛程式強制執行的可掛接密鑰政策 (使用暫時性容器時)。這項政策可確保以服務帳戶執行的 Pod 只能參照服務帳戶密鑰欄位中指定的密鑰。如果符合下列條件，叢集就會受到這個安全漏洞影響：

  • 系統會使用 ServiceAccount 准入外掛程式。
  • 服務帳戶會使用 kubernetes.io/enforce-mountable-secrets 註解。系統不會預設新增這項註解。
  • Pod 使用暫時性容器。
 中

Bare Metal 中的 GKE

更新日期： 2023 年 8 月 11 日

說明 嚴重性

Kubernetes 發現兩項新的安全性問題，使用者在使用臨時容器和 ImagePolicyWebhook (CVE-2023-2727) 或 ServiceAccount 准入外掛程式 (CVE-2023-2728) 時，可能會啟動容器，進而規避政策限制
裸機上的 Anthos 不會使用 ImagePolicyWebhook，因此不受 CVE-2023-2727 影響。
所有版本的 Anthos on Bare Metal 都可能受到 CVE-2023-2728 影響。

該怎麼辦？

2023 年 8 月 11 日更新：下列版本的 Google Distributed Cloud Virtual for Bare Metal 已更新程式碼，修正這個安全漏洞。將節點升級至下列其中一個 Google Distributed Cloud Virtual for Bare Metal 版本：

  • 1.13.9
  • 1.14.7
  • 1.15.3

這個修補程式修正了哪些安全漏洞？

使用暫時性容器時，使用者可能會透過 CVE-2023-2727 啟動容器，但這些容器使用的映像檔受到 ImagePolicyWebhook 限制。只有在搭配暫時性容器使用 ImagePolicyWebhook 准入外掛程式時，Kubernetes 叢集才會受到影響。您也可以使用驗證 Webhook (例如 Gatekeeper 和 Kyverno) 強制執行相同限制，來減輕這個 CVE 的影響。

在 CVE-2023-2728 中，使用者可能可以啟動容器，略過 ServiceAccount 許可外掛程式強制執行的可掛接密鑰政策 (使用暫時性容器時)。這項政策可確保以服務帳戶執行的 Pod 只能參照服務帳戶密鑰欄位中指定的密鑰。如果符合下列條件，叢集就會受到這個安全漏洞影響：

  • 系統會使用 ServiceAccount 准入外掛程式。
  • 服務帳戶會使用 kubernetes.io/enforce-mountable-secrets 註解。系統不會預設新增這項註解。
  • Pod 使用暫時性容器。
 中

GCP-2023-009

發布日期：2023 年 6 月 6 日
參考資料：CVE-2023-2878

GKE

說明 嚴重性

我們在 secrets-store-csi-driver 中發現新的安全漏洞 (CVE-2023-2878)，如果攻擊者有權存取驅動程式記錄，就能觀察服務帳戶權杖。這些權杖隨後可能會與外部雲端供應商交換，以存取儲存在雲端金鑰櫃解決方案中的密鑰。

GKE 不受這項 CVE 影響。

該怎麼辦？

GKE 不會受到影響，但如果您已安裝 secrets-store-csi-driver 元件，請使用修補版本更新安裝項目。

這個修補程式修正了哪些安全漏洞？

CVE-2023-2878 安全漏洞是在 secrets-store-csi-driver 中發現，如果行為人有權存取驅動程式記錄，就能觀察服務帳戶權杖。這些權杖隨後可能會與外部雲端供應商交換，以存取儲存在雲端金鑰櫃解決方案中的密鑰。只有在 CSIDriver 物件中設定 TokenRequests，且透過 -v 標記將驅動程式設為以記錄層級 2 以上執行時，系統才會記錄權杖。

 無

VMware 中的 GKE

說明 嚴重性

我們在 secrets-store-csi-driver 中發現新的安全漏洞 (CVE-2023-2878)，如果攻擊者有權存取驅動程式記錄，就能觀察服務帳戶權杖。這些權杖隨後可能會與外部雲端供應商交換，以存取儲存在雲端金鑰櫃解決方案中的密鑰。

GKE on VMware 不受這項 CVE 影響。

該怎麼辦？

雖然 VMware 上的 GKE 不受影響，但如果您已安裝 secrets-store-csi-driver 元件，請使用修補版本更新安裝項目。

這個修補程式修正了哪些安全漏洞？

CVE-2023-2878 安全漏洞是在 secrets-store-csi-driver 中發現，如果行為人有權存取驅動程式記錄，就能觀察服務帳戶權杖。這些權杖隨後可能會與外部雲端供應商交換，以存取儲存在雲端金鑰櫃解決方案中的密鑰。只有在 CSIDriver 物件中設定 TokenRequests，且透過 -v 標記將驅動程式設為以記錄層級 2 以上執行時，系統才會記錄權杖。

 無

GKE on AWS

說明 嚴重性

我們在 secrets-store-csi-driver 中發現新的安全漏洞 (CVE-2023-2878)，如果攻擊者有權存取驅動程式記錄，就能觀察服務帳戶權杖。這些權杖隨後可能會與外部雲端供應商交換，以存取儲存在雲端金鑰櫃解決方案中的密鑰。

GKE on AWS 不受這項 CVE 影響。

該怎麼辦？

雖然 GKE on AWS 不受影響，但如果您已安裝 secrets-store-csi-driver 元件，請使用修補版本更新安裝項目。

這個修補程式修正了哪些安全漏洞？

CVE-2023-2878 安全漏洞是在 secrets-store-csi-driver 中發現，如果行為人有權存取驅動程式記錄，就能觀察服務帳戶權杖。這些權杖隨後可能會與外部雲端供應商交換，以存取儲存在雲端金鑰櫃解決方案中的密鑰。只有在 CSIDriver 物件中設定 TokenRequests，且透過 -v 標記將驅動程式設為以記錄層級 2 以上執行時，系統才會記錄權杖。

 無

GKE on Azure

說明 嚴重性

我們在 secrets-store-csi-driver 中發現新的安全漏洞 (CVE-2023-2878)，如果攻擊者有權存取驅動程式記錄，就能觀察服務帳戶權杖。這些權杖隨後可能會與外部雲端供應商交換，以存取儲存在雲端金鑰櫃解決方案中的密鑰。

Azure 中的 GKE 不受這個 CVE 影響

該怎麼辦？

GKE on Azure 不會受到影響，但如果您已安裝 secrets-store-csi-driver 元件，請使用修補程式版本更新安裝項目。

這個修補程式修正了哪些安全漏洞？

CVE-2023-2878 安全漏洞是在 secrets-store-csi-driver 中發現，如果行為人有權存取驅動程式記錄，就能觀察服務帳戶權杖。這些權杖隨後可能會與外部雲端供應商交換，以存取儲存在雲端金鑰櫃解決方案中的密鑰。只有在 CSIDriver 物件中設定 TokenRequests，且透過 -v 標記將驅動程式設為以記錄層級 2 以上執行時，系統才會記錄權杖。

 無

Bare Metal 中的 GKE

說明 嚴重性

我們在 secrets-store-csi-driver 中發現新的安全漏洞 (CVE-2023-2878)，如果攻擊者有權存取驅動程式記錄，就能觀察服務帳戶權杖。這些權杖隨後可能會與外部雲端供應商交換，以存取儲存在雲端金鑰櫃解決方案中的密鑰。

GKE on Bare Metal 不受這項 CVE 影響。

該怎麼辦？

GKE on Bare Metal 不會受到影響，但如果您已安裝 secrets-store-csi-driver 元件，請使用修補版本更新安裝項目

這個修補程式修正了哪些安全漏洞？

CVE-2023-2878 安全漏洞是在 secrets-store-csi-driver 中發現，如果行為人有權存取驅動程式記錄，就能觀察服務帳戶權杖。這些權杖隨後可能會與外部雲端供應商交換，以存取儲存在雲端金鑰櫃解決方案中的密鑰。只有在 CSIDriver 物件中設定 TokenRequests，且透過 -v 標記將驅動程式設為以記錄層級 2 以上執行時，系統才會記錄權杖。

 無

GCP-2023-008

發布日期：2023 年 6 月 5 日
參考資料：CVE-2023-1872

GKE

說明 嚴重性

Linux 核心最近發現一項新安全漏洞 (CVE-2023-1872)，可能導致節點上的權限升級為 Root。GKE Standard 和 Autopilot 叢集都會受到影響。

使用 GKE Sandbox 的叢集不受影響。

該怎麼辦？

下列 GKE 版本已更新程式碼，修正這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和節點集區至下列其中一個 GKE 版本：

  • 1.22.17-gke.11400
  • 1.23.17-gke.5600
  • 1.24.13-gke.2500
  • 1.25.9-gke.2300
  • 1.26.5-gke.1200

發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

這個修補程式修正了哪些安全漏洞？

CVE-2023-1872 是 Linux 核心 io_uring 子系統中的「釋放後使用」安全漏洞，可遭人利用來提升本機權限。io_file_get_fixed 函式缺少 ctx->uring_lock，可能導致使用後釋放 (use-after-free) 安全漏洞，因為固定檔案取消註冊時會發生競爭條件。

 高

VMware 中的 GKE

說明 嚴重性

Linux 核心中發現新的安全漏洞 (CVE-2023-1872)，可能導致節點上的權限升級為 Root。

該怎麼辦？

這個修補程式修正了哪些安全漏洞？

CVE-2023-1872 是 Linux 核心 io_uring 子系統中的「釋放後使用」安全漏洞，可遭人利用來提升本機權限。io_file_get_fixed 函式缺少 ctx->uring_lock，可能導致使用後釋放 (use-after-free) 安全漏洞，因為固定檔案取消註冊時會發生競爭條件。

 高

GKE on AWS

說明 嚴重性

Linux 核心中發現新的安全漏洞 (CVE-2023-1872)，可能導致節點上的權限升級為 Root。

該怎麼辦？

下列 GKE on AWS 版本已更新程式碼，修正這些安全漏洞：

  • 1.15.1

    • 這個修補程式修正了哪些安全漏洞？

    CVE-2023-1872 是 Linux 核心 io_uring 子系統中的「釋放後使用」安全漏洞，可遭人利用來提升本機權限。io_file_get_fixed 函式缺少 ctx->uring_lock，可能導致使用後釋放 (use-after-free) 安全漏洞，因為固定檔案取消註冊時會發生競爭條件。

    		 高

    GKE on Azure

    說明 嚴重性

    Linux 核心中發現新的安全漏洞 (CVE-2023-1872)，可能導致節點上的權限升級為 Root。

    該怎麼辦？

    下列 Azure 上的 GKE 版本已更新程式碼，修正這些安全漏洞：

  • 1.15.1

    • 這個修補程式修正了哪些安全漏洞？

    CVE-2023-1872 是 Linux 核心 io_uring 子系統中的「釋放後使用」安全漏洞，可遭人利用來提升本機權限。io_file_get_fixed 函式缺少 ctx->uring_lock，可能導致使用後釋放 (use-after-free) 安全漏洞，因為固定檔案取消註冊時會發生競爭條件。

    		 高

    Bare Metal 中的 GKE

    說明 嚴重性

    Linux 核心中發現新的安全漏洞 (CVE-2023-1872)，可能導致節點上的權限升級為 Root。

    GKE on Bare Metal 不受這項 CVE 影響。

    該怎麼辦？

    您無需採取任何動作。

    		 無

    GCP-2023-005

    發布日期：2023 年 5 月 18 日
    更新日期：2023 年 6 月 6 日
    參考資料：CVE-2023-1281、CVE-2023-1829

    2023 年 6 月 6 日更新： 新版 GKE 已更新，內含最新版 Ubuntu，可修補 CVE-2023-1281 和 CVE-2023-1829。

    GKE

    更新日期： 2023 年 6 月 6 日

    說明 嚴重性

    Linux 核心最近發現兩個新安全漏洞 (CVE-2023-1281、CVE-2023-1829)，可能導致節點上的權限提升為 Root。GKE 標準叢集會受到影響。

    GKE Autopilot 叢集和使用 GKE Sandbox 的叢集不受影響。

    該怎麼辦？

    2023 年 6 月 6 日更新：Ubuntu 修補程式版本現已推出。

    下列 GKE 版本已更新，內含最新版 Ubuntu，可修補 CVE-2023-1281 和 CVE-2023-1829：

    • 1.23.17-gke.6800
    • 1.24.14-gke.1200
    • 1.25.10-gke.1200
    • 1.26.5-gke.1200

    下列 GKE 版本已更新程式碼，修正這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和節點集區至下列其中一個 GKE 版本：

    • 1.22.17-gke.8100
    • 1.23.17-gke.2300
    • 1.24.12-gke.1100
    • 1.25.8-gke.1000
    • 1.26.3-gke.1000

    發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

    這個修補程式修正了哪些安全漏洞？

    CVE-2023-1281 和 CVE-2023-1829 都是 Linux 核心流量控制索引篩選器 (tcindex) 中的「釋放後使用」漏洞，可遭人利用來提升本機權限。

    在 CVE-2023-1829 中，tcindex_delete 函式在某些情況下無法正確停用篩選器，這可能會導致資料結構重複釋放。

    在 CVE-2023-1281 中，封包傳輸時可能會更新不完美的雜湊區域，導致在呼叫 tcf_exts_exec() 時，因 tcf_ext 已遭毀損而發生釋放後使用 (use-after-free) 的情況。本機攻擊者可利用這個安全漏洞，將權限提升為根層級。

    		 高

    VMware 中的 GKE

    說明 嚴重性

    Linux 核心最近發現兩個新安全漏洞 (CVE-2023-1281、CVE-2023-1829)，可能導致節點上的權限提升為 Root。

    該怎麼辦？

    這個修補程式修正了哪些安全漏洞？

    CVE-2023-1281 和 CVE-2023-1829 都是 Linux 核心流量控制索引篩選器 (tcindex) 中的「釋放後使用」安全性漏洞，可遭人利用來提升本機權限。

    在 CVE-2023-1829 中，tcindex_delete 函式在某些情況下無法正確停用篩選器，這可能會導致資料結構重複釋放。

    在 CVE-2023-1281 中，封包傳輸時可能會更新不完美的雜湊區域，導致在呼叫 tcf_exts_exec() 時，因 tcf_ext 已遭毀損而發生釋放後使用 (use-after-free) 的情況。本機攻擊者可利用這個安全漏洞，將權限提升為根層級。

    		 高

    GKE on AWS

    說明 嚴重性

    Linux 核心最近發現兩個新安全漏洞 (CVE-2023-1281、CVE-2023-1829)，可能導致節點上的權限提升為 Root。

    該怎麼辦？

    這個修補程式修正了哪些安全漏洞？

    CVE-2023-1281 和 CVE-2023-1829 都是 Linux 核心流量控制索引篩選器 (tcindex) 中的「釋放後使用」安全性漏洞，可遭人利用來提升本機權限。

    在 CVE-2023-1829 中，tcindex_delete 函式在某些情況下無法正確停用篩選器，這可能會導致資料結構重複釋放。

    在 CVE-2023-1281 中，封包傳輸時可能會更新不完美的雜湊區域，導致在呼叫 tcf_exts_exec() 時，因 tcf_ext 已遭毀損而發生釋放後使用 (use-after-free) 的情況。本機攻擊者可利用這個安全漏洞，將權限提升為根層級。

    		 高

    GKE on Azure

    說明 嚴重性

    Linux 核心最近發現兩個新安全漏洞 (CVE-2023-1281、CVE-2023-1829)，可能導致節點上的權限提升為 Root。

    該怎麼辦？

    這個修補程式修正了哪些安全漏洞？

    CVE-2023-1281 和 CVE-2023-1829 都是 Linux 核心流量控制索引篩選器 (tcindex) 中的「釋放後使用」安全性漏洞，可遭人利用來提升本機權限。

    在 CVE-2023-1829 中，tcindex_delete 函式在某些情況下無法正確停用篩選器，這可能會導致資料結構重複釋放。

    在 CVE-2023-1281 中，封包傳輸時可能會更新不完美的雜湊區域，導致在呼叫 tcf_exts_exec() 時，因 tcf_ext 已遭毀損而發生釋放後使用 (use-after-free) 的情況。本機攻擊者可利用這個安全漏洞，將權限提升為根層級。

    		 高

    Bare Metal 中的 GKE

    說明 嚴重性

    Linux 核心最近發現兩個新安全漏洞 (CVE-2023-1281、CVE-2023-1829)，可能導致節點上的權限提升為 Root。

    GKE on Bare Metal 不受這項 CVE 影響。

    該怎麼辦？

    您無需採取任何動作。

    		 無

    GCP-2023-003

    發布日期：2023 年 4 月 11 日
    更新日期：2023 年 12 月 21 日
    參考資料：CVE-2023-0240、 CVE-2023-23586

    2023 年 12 月 21 日更新： 釐清預設設定的 GKE Autopilot 叢集不受影響。

    GKE

    更新日期： 2023 年 12 月 21 日

    說明 嚴重性

    2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

    Linux 核心最近發現兩個新安全漏洞 (CVE-2023-0240 和 CVE-2023-23586)，未經授權的使用者可能會藉此升級權限。使用 Linux 核心 5.10 至 5.10.162 版的 COS，包括 Autopilot 叢集在內的 GKE 叢集都會受到影響。使用 Ubuntu 映像檔或 GKE Sandbox 的 GKE 叢集不受影響。

    該怎麼辦？

    下列 GKE 版本已更新程式碼，修正這些安全漏洞。為確保安全性，即使已啟用節點自動升級功能，我們仍建議您手動將節點集區升級至下列其中一個 GKE 版本：

    • 1.22.17-gke.4000
    • 1.23.16-gke.1100
    • 1.24.10-gke.1200

    發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

    這個修補程式修正了哪些安全漏洞？

    安全漏洞 1 (CVE-2023-0240)：io_uring 中的競爭條件可能會導致容器完全中斷，並在節點上取得根層級權限。Linux 核心版本 5.10 會受到影響，直到 5.10.162 為止。

    安全漏洞 2 (CVE-2023-23586)：io_uring/time_ns 中發生「釋放後使用」安全性漏洞 (UAF)，可能導致容器完全中斷，並在節點上以根層級執行。Linux 核心版本 5.10 會受到影響，直到 5.10.162 為止。

    		 高

    VMware 中的 GKE

    說明 嚴重性

    Linux 核心最近發現兩個新安全漏洞 (CVE-2023-0240 和 CVE-2023-23586)，未經授權的使用者可能會藉此升級權限。使用 Linux 核心版本 5.10 至 5.10.162 的 COS，都會受到影響。使用 Ubuntu 映像檔的 GKE Enterprise 叢集不受影響。

    該怎麼辦？

    下列 GKE on VMware 版本已更新程式碼，可修正這些安全漏洞：

    • 1.12.6
    • 1.13.5

    這個修補程式修正了哪些安全漏洞？

    安全漏洞 1 (CVE-2023-0240)：io_uring 中的競爭條件可能會導致容器完全中斷，並在節點上取得根層級權限。Linux 核心版本 5.10 至 5.10.162 受到影響。

    安全漏洞 2 (CVE-2023-23586)：io_uring/time_ns 中的「釋放後使用」安全性漏洞 (UAF) 可能導致容器完全中斷，進而影響節點上的根目錄。Linux 核心版本 5.10 至 5.10.162 受到影響。

    		 高

    GKE on AWS

    說明 嚴重性

    Linux 核心最近發現兩個新安全漏洞 (CVE-2023-0240 和 CVE-2023-23586)，未經授權的使用者可能會藉此升級權限。GKE on AWS 不受這些 CVE 影響。

    該怎麼辦？

    您無需採取任何動作。

    		 無

    GKE on Azure

    說明 嚴重性

    Linux 核心最近發現兩個新安全漏洞 (CVE-2023-0240 和 CVE-2023-23586)，未經授權的使用者可能會藉此升級權限。Azure 上的 GKE 不受這些 CVE 影響

    該怎麼辦？

    您無需採取任何動作。

    		 無

    Bare Metal 中的 GKE

    說明 嚴重性

    Linux 核心最近發現兩個新安全漏洞 (CVE-2023-0240 和 CVE-2023-23586)，未經授權的使用者可能會藉此升級權限。GKE on Bare Metal 不受這些 CVE 影響。

    該怎麼辦？

    您無需採取任何動作。

    		 無

    GCP-2023-001

    發布日期：2023 年 3 月 1 日
    更新日期：2023 年 12 月 21 日
    參考資料：CVE-2022-4696

    2023 年 12 月 21 日更新： 釐清預設設定的 GKE Autopilot 叢集不受影響。

    GKE

    說明 嚴重性

    2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

    Linux 核心最近發現一項新安全漏洞 (CVE-2022-4696)，可能導致節點權限提升。包括 Autopilot 叢集在內的 GKE 叢集都會受到影響。使用 GKE Sandbox 的 GKE 叢集不受影響。

    該怎麼辦？

    下列 GKE 版本已更新程式碼，可修正這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級叢集和節點集區至下列其中一個 GKE 版本：

    • 1.22.17-gke.3100
    • 1.23.16-gke.200
    • 1.24.9-gke.3200

    發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-4696 發現 Linux 核心的 io_uring 和 ioring_op_splice 存在釋放後記憶體漏洞。本機使用者可利用這項缺陷，提升本機權限。

    		 高

    VMware 中的 GKE

    說明 嚴重性

    Linux 核心最近發現一項新安全漏洞 (CVE-2022-4696)，可能導致節點權限提升。執行 v1.12 和 v1.13 的 VMware 版 GKE 會受到影響。執行 1.14 以上版本的 GKE on VMware 不受影響。

    該怎麼辦？

    下列 GKE on VMware 版本已更新程式碼，可修正這個安全漏洞。建議您將管理員和使用者叢集升級至下列任一 GKE on VMware 版本：

    • 1.12.5
    • 1.13.5

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-4696 發現 Linux 核心的 io_uring 和 ioring_op_splice 存在釋放後記憶體漏洞。本機使用者可利用這項缺陷，提升本機權限。

    		 高

    GKE on AWS

    說明 嚴重性

    Linux 核心最近發現一項新安全漏洞 (CVE-2022-4696)，可能導致節點權限提升。GKE on AWS 不受這個安全漏洞影響。

    該怎麼辦？

    您無須採取任何行動。

    		 無

    GKE on Azure

    說明 嚴重性

    Linux 核心最近發現一項新安全漏洞 (CVE-2022-4696)，可能導致節點權限提升。Azure 上的 GKE 不會受到這個安全漏洞影響。

    該怎麼辦？

    您無須採取任何行動。

    		 無

    Bare Metal 中的 GKE

    說明 嚴重性

    Linux 核心最近發現一項新安全漏洞 (CVE-2022-4696)，可能導致節點權限提升。GKE on Bare Metal 不受這個安全漏洞影響。

    該怎麼辦？

    您無須採取任何行動。

    		 無

    GCP-2022-026

    發布日期：2023 年 1 月 11 日
    參考資料：CVE-2022-3786、CVE-2022-3602

    GKE

    說明 嚴重性

    OpenSSL v3.0.6 中發現兩個可能導致當機的新安全漏洞 (CVE-2022-3786 和 CVE-2022-3602)。雖然 NVD 資料庫將此問題評為「高」，但 GKE 端點使用 boringSSL 或不受影響的舊版 OpenSSL，因此 GKE 的評等已降為「中」。

    該怎麼辦？

    下列 GKE 版本已更新程式碼，修正這個安全漏洞：

    • 1.25.4-gke.1600
    • 1.24.8-gke.401
    • 1.23.14-gke.401
    • 1.22.16-gke.1300
    • 1.21.14-gke.14100

    發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

    這個修補程式修正了哪些安全漏洞？

    透過 CVE-2022-3786 和 CVE-2022-3602，X.509 憑證驗證可能會觸發緩衝區溢位，導致當機並造成阻斷服務。如要利用這個安全漏洞，CA 必須簽署惡意憑證，或應用程式必須在無法建構信任簽發者路徑的情況下，繼續進行憑證驗證。

    		 中

    VMware 中的 GKE

    說明 嚴重性

    OpenSSL v3.0.6 中發現兩個新安全漏洞 (CVE-2022-3786 和 CVE-2022-3602)，可能會導致當機。

    該怎麼辦？

    GKE on VMware 並未使用受影響的 OpenSSL 版本，因此不會受到這個 CVE 影響。

    這個修補程式修正了哪些安全漏洞？

    您無需採取任何動作。

    		 無

    GKE on AWS

    說明 嚴重性

    OpenSSL v3.0.6 中發現兩個可能導致當機的新安全漏洞 (CVE-2022-3786 和 CVE-2022-3602)。

    該怎麼辦？

    GKE on AWS 並未受到這項 CVE 影響，因為該服務並未使用受影響的 OpenSSL 版本。

    這個修補程式修正了哪些安全漏洞？

    您無需採取任何動作。

    		 無

    GKE on Azure

    說明 嚴重性

    OpenSSL v3.0.6 中發現兩個新安全漏洞 (CVE-2022-3786 和 CVE-2022-3602)，可能會導致當機。

    該怎麼辦？

    GKE on Azure 不會受到這項 CVE 影響，因為該服務並未使用受影響的 OpenSSL 版本。

    這個修補程式修正了哪些安全漏洞？

    您無需採取任何動作。

    		 無

    Bare Metal 中的 GKE

    說明 嚴重性

    OpenSSL v3.0.6 中發現兩個新安全漏洞 (CVE-2022-3786 和 CVE-2022-3602)，可能會導致當機。

    該怎麼辦？

    GKE on Bare Metal 並未受到這項 CVE 影響，因為該服務並未使用受影響的 OpenSSL 版本。

    這個修補程式修正了哪些安全漏洞？

    您無需採取任何動作。

    		 無

    GCP-2022-025

    發布日期：2022-12-21
    更新日期：2023-01-19、2023-12-21
    參考資料：CVE-2022-2602

    2023 年 12 月 21 日更新： 釐清預設設定的 GKE Autopilot 叢集不受影響。

    2023 年 1 月 19 日更新： GKE 1.21.14-gke.14100 版現已推出。

    GKE

    更新日期： 2023 年 1 月 19 日

    說明 嚴重性

    2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

    Linux 核心的 io_uring 子系統中發現一個新安全漏洞 (CVE-2022-2602)，攻擊者可能會利用這個漏洞執行任意程式碼。包括 Autopilot 叢集在內的 GKE 叢集都會受到影響。

    使用 GKE Sandbox 的 GKE 叢集不受影響。

    該怎麼辦？

    2023 年 1 月 19 日更新：版本 1.21.14-gke.14100 現已推出。將節點集區升級至這個版本或更新版本。

    下列 GKE 版本已更新程式碼，修正即將發布版本中的這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級節點集區至下列其中一個 GKE 版本：

    • Container-Optimized OS：
      • 1.22.16-gke.1300 以上版本
      • 1.23.14-gke.401 以上版本
      • 1.24.7-gke.900 以上版本
      • 1.25.4-gke.1600 以上版本
    • Ubuntu：
      • 1.22.15-gke.2500 以上版本
      • 1.23.13-gke.900 以上版本
      • 1.24.7-gke.900 以上版本
      • 1.25.3-gke.800 以上版本

    發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

    這個修補程式修正了哪些安全漏洞？

    在 CVE-2022-2602 中，io_uring 要求處理和 Unix Socket 垃圾收集之間的競爭狀況可能會導致釋放後使用漏洞。本機攻擊者可能會利用這項漏洞觸發阻斷服務，或執行任意程式碼。

    		 高

    VMware 中的 GKE

    說明 嚴重性

    Linux 核心的 io_uring 子系統中發現新的安全漏洞 (CVE-2022-2602)，攻擊者可能會利用這個漏洞執行任意程式碼。

    GKE on VMware 1.11、1.12 和 1.13 版會受到影響。

    該怎麼辦？

    將叢集升級至修補版本。下列版本的 VMware 專用 GKE 包含修正此安全漏洞的程式碼：

    • 1.13.2
    • 1.12.4
    • 1.11.5

    這個修補程式修正了哪些安全漏洞？

    在 CVE-2022-2602 中，io_uring 要求處理和 Unix Socket 垃圾收集之間的競爭狀況可能會導致釋放後使用漏洞。本機攻擊者可能會利用這項漏洞觸發阻斷服務，或執行任意程式碼。

    		 高

    GKE on AWS

    說明 嚴重性

    Linux 核心的 io_uring 子系統中發現新的安全漏洞 (CVE-2022-2602)，攻擊者可能會利用這個漏洞執行任意程式碼。

    該怎麼辦？

    下列現有和前一代的 GKE on AWS 版本已更新程式碼，可修正這個安全漏洞。建議您將節點升級至下列其中一個 GKE on AWS 版本：

    • 目前世代：
      • 1.22.15-gke.100
      • 1.23.11-gke.300
      • 1.24.5-gke.200
    • 上一代：
      • 1.22.15-gke.1400
      • 1.23.12-gke.1400
      • 1.24.6-gke.1300

    這個修補程式修正了哪些安全漏洞？

    在 CVE-2022-2602 中，io_uring 要求處理和 Unix Socket 垃圾收集之間的競爭狀況可能會導致釋放後使用漏洞。本機攻擊者可能會利用這項漏洞觸發阻斷服務，或執行任意程式碼。

    		 高

    GKE on Azure

    說明 嚴重性

    Linux 核心的 io_uring 子系統中發現新的安全漏洞 (CVE-2022-2602)，攻擊者可能會利用這個漏洞執行任意程式碼。

    該怎麼辦？

    Azure 上的 GKE 已更新下列版本，修正這項安全漏洞。建議您將節點升級至下列任一 GKE on Azure 版本：

    • 1.22.15-gke.100
    • 1.23.11-gke.300
    • 1.24.5-gke.200

    這個修補程式修正了哪些安全漏洞？

    在 CVE-2022-2602 中，io_uring 要求處理和 Unix Socket 垃圾收集之間的競爭狀況可能會導致釋放後使用漏洞。本機攻擊者可能會利用這項漏洞觸發阻斷服務，或執行任意程式碼。

    		 高

    Bare Metal 中的 GKE

    說明 嚴重性

    Linux 核心的 io_uring 子系統中發現新的安全漏洞 (CVE-2022-2602)，攻擊者可能會利用這個漏洞執行任意程式碼。

    Bare Metal 中的 GKE 不會受到這項 CVE 影響，因為其發行版本未綁定作業系統。

    該怎麼辦？

    您無需採取任何動作。

    		 無

    GCP-2022-024

    發布日期：2022 年 11 月 9 日
    更新日期：2023 年 1 月 19 日
    參考資料：CVE-2022-2585、CVE-2022-2588

    2023 年 1 月 19 日更新： GKE 1.21.14-gke.14100 版現已推出。
    2022 年 12 月 16 日更新： 新增 GKE 和 GKE on VMware 的修訂版修補程式版本。

    GKE

    更新日期： 2023 年 1 月 19 日

    說明 嚴重性

    Linux 核心最近發現兩個新安全漏洞 (CVE-2022-2585 和 CVE-2022-2588)，可能導致容器完全逃逸，並在節點上取得 Root 權限。包括 Autopilot 叢集在內的 GKE 叢集都會受到影響。

    使用 GKE Sandbox 的 GKE 叢集不受影響。

    該怎麼辦？

    2023 年 1 月 19 日更新：版本 1.21.14-gke.14100 現已推出。將節點集區升級至這個版本或更新版本。

    2022 年 12 月 16 日更新： 由於版本回歸，我們已修訂舊版公告。請手動升級節點集區至下列其中一個 GKE 版本：

    • 1.22.16-gke.1300 以上版本
    • 1.23.14-gke.401 以上版本
    • 1.24.7-gke.900 以上版本
    • 1.25.4-gke.1600 以上版本

    下列 GKE 版本已更新程式碼，修正這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級節點集區至下列其中一個 GKE 版本：

    • 1.21.14-gke.9500
    • 1.24.7-gke.900

    GKE v1.22、1.23 和 1.25 的更新即將推出。我們會在這些連結建立完成後，更新這份安全性公告。

    發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

    這個修補程式修正了哪些安全漏洞？

    • CVE-2022-2585 漏洞會導致 posix CPU 計時器未正確清除計時器，進而允許使用後釋放漏洞，具體情況取決於計時器的建立和刪除方式。
    • CVE-2022-2588 發現 Linux 核心的 route4_change 中存在釋放後使用 (use-after-free) 缺陷。本機使用者可利用這個安全漏洞導致系統當機，並可能提升本機權限。
    		 高

    VMware 中的 GKE

    更新時間： 2022 年 12 月 16 日

    說明 嚴重性

    Linux 核心最近發現兩個新漏洞 (CVE-2022-2585 和 CVE-2022-2588)，可能導致容器完全突破限制，在節點上取得 Root 權限。

    GKE on VMware 1.13、1.12 和 1.11 版都會受到影響。

    該怎麼辦？

    2022 年 12 月 16 日更新：下列版本的 GKE on VMware 已更新程式碼，可修正這個安全漏洞。建議您將管理員和使用者叢集升級至下列任一 GKE on VMware 版本：

    • 1.13.2
    • 1.12.4
    • 1.11.6
    • 注意：我們即將發布包含 Container-Optimized OS 修補程式的 GKE on VMware 版本。GKE on VMware 版本可供下載時，這則安全性公告就會更新。

    這個修補程式修正了哪些安全漏洞？

    • CVE-2022-2585 漏洞會導致 posix CPU 計時器未正確清除計時器，進而允許使用後釋放漏洞，具體情況取決於計時器的建立和刪除方式。
    • CVE-2022-2588 發現 Linux 核心的 route4_change 中存在釋放後使用 (use-after-free) 缺陷。本機使用者可利用這個安全漏洞導致系統當機，並可能提升本機權限。
    		 高

    GKE on AWS

    說明 嚴重性

    Linux 核心最近發現兩個新漏洞 (CVE-2022-2585 和 CVE-2022-2588)，可能導致容器完全突破限制，在節點上取得 Root 權限。

    AWS 上下列版本的 Kubernetes 可能會受到影響：

    • 1.23：1.23.9-gke.800 之前的版本。較新的子版本不受影響
    • 1.22：1.22.12-gke.1100 以下版本。較新的子版本不受影響

    Kubernetes V1.24 不受影響。

    該怎麼辦？

    建議您將叢集升級至下列其中一個 AWS Kubernetes 版本：

    • 1.23：v1.23.9-gke.800 以上版本
    • 1.22：1.22.12-gke-1100 以上版本

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-2585 漏洞會導致 posix CPU 計時器未正確清除計時器，進而允許使用後釋放漏洞，具體情況取決於計時器的建立和刪除方式。

    CVE-2022-2588 發現 Linux 核心的 route4_change 中存在釋放後使用 (use-after-free) 缺陷。本機使用者可利用這個安全漏洞導致系統當機，並可能提升本機權限。

    		 高

    GKE on Azure

    說明 嚴重性

    Linux 核心最近發現兩個新漏洞 (CVE-2022-2585 和 CVE-2022-2588)，可能導致容器完全突破限制，在節點上取得 Root 權限。

    Azure 上的下列 Kubernetes 版本可能受到影響：

    • 1.23：1.23.9-gke.800 之前的版本。較新的子版本不受影響。
    • 1.22：1.22.12-gke.1100 以下版本。較新的子版本不受影響。

    Kubernetes V1.24 不受影響。

    該怎麼辦？

    建議您將叢集升級至下列其中一個 Azure Kubernetes 版本：

    • 1.23：v1.23.9-gke.800 以上版本
    • 1.22：1.22.12-gke-1100 以上版本

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-2585 漏洞會導致 posix CPU 計時器未正確清除計時器，進而允許使用後釋放漏洞，具體情況取決於計時器的建立和刪除方式。

    CVE-2022-2588 發現 Linux 核心的 route4_change 中存在釋放後使用 (use-after-free) 缺陷。本機使用者可利用這個安全漏洞導致系統當機，並可能提升本機權限。

    		 高

    Bare Metal 中的 GKE

    說明 嚴重性

    Linux 核心最近發現兩個新漏洞 (CVE-2022-2585 和 CVE-2022-2588)，可能導致容器完全突破限制，在節點上取得 Root 權限。

    Bare Metal 中的 GKE 不會受到這項 CVE 影響，因為其發行版本未綁定作業系統。

    該怎麼辦？

    您無需採取任何動作。

    		 無

    GCP-2022-023

    發布日期：2022 年 11 月 4 日
    參考資料：CVE-2022-39278

    GKE

    說明 嚴重性

    我們在 Cloud Service Mesh 使用的 Istio 中發現安全漏洞 CVE-2022-39278，惡意攻擊者可藉此讓控制層當機。

    該怎麼辦？

    Google Kubernetes Engine (GKE) 不會隨附 Istio，因此不受這個安全漏洞影響。不過，如果您在 GKE 叢集上另外安裝了 Cloud Service Mesh 或 Istio，請參閱 GCP-2022-020，也就是這項 CVE 的 Cloud Service Mesh 安全性公告，瞭解詳情。

    		 無

    VMware 中的 GKE

    說明 嚴重性

    我們在 Istio 中發現安全漏洞 CVE-2022-39278，惡意攻擊者可利用這個漏洞，在 GKE on VMware 的 Cloud Service Mesh 中，導致 Istio 控制層當機。

    該怎麼辦？

    下列 GKE on VMware 版本已更新程式碼，可修正這個安全漏洞。建議您將管理員和使用者叢集升級至下列任一 GKE on VMware 版本：

    • 1.11.4
    • 1.12.3
    • 1.13.1

    這個修補程式修正了哪些安全漏洞？

    在 CVE-2022-39278 漏洞中，Istio 控制層 istiod 容易發生要求處理錯誤，因此惡意攻擊者可傳送特製訊息，導致叢集的驗證 Webhook 公開時，控制層會當機。這個端點是透過 TLS 連接埠 15017 提供服務，但不需要攻擊者進行任何驗證。

    		 高

    GKE on AWS

    說明 嚴重性

    我們在 Cloud Service Mesh 使用的 Istio 中發現安全漏洞 CVE-2022-39278，惡意攻擊者可利用這個漏洞導致控制層當機。

    該怎麼辦？

    AWS 上的 GKE 不會受到這個安全漏洞影響，因此您不必採取任何行動。

    		 無

    GKE on Azure

    說明 嚴重性

    我們在 Cloud Service Mesh 使用的 Istio 中發現安全漏洞 CVE-2022-39278，惡意攻擊者可利用這個漏洞導致控制層當機。

    該怎麼辦？

    Azure 上的 GKE 不受這個安全漏洞影響，因此不必採取任何行動。

    		 無

    Bare Metal 中的 GKE

    說明 嚴重性

    我們在 Istio 中發現安全漏洞 CVE-2022-39278，惡意攻擊者可利用這個漏洞，在 GKE on Bare Metal 的 Cloud Service Mesh 中，導致 Istio 控制層當機。

    該怎麼辦？

    下列版本的 GKE on Bare Metal 已更新程式碼，修正這個安全漏洞。建議您將叢集升級至下列其中一個 GKE on Bare Metal 版本：

    • 1.11.7
    • 1.12.4
    • 1.13.1

    這個修補程式修正了哪些安全漏洞？

    在 CVE-2022-39278 漏洞中，Istio 控制層 istiod 容易發生要求處理錯誤，因此惡意攻擊者可傳送特製訊息，導致叢集的驗證 Webhook 公開時，控制層會當機。這個端點是透過 TLS 連接埠 15017 提供服務，但不需要攻擊者進行任何驗證。

    		 高

    GCP-2022-022-updated

    發布日期：2022 年 12 月 8 日
    參考資料：CVE-2022-20409

    GKE

    更新日期： 2022 年 12 月 14 日

    說明 嚴重性

    Linux 核心中發現新的安全漏洞 CVE-2022-20409，可能導致本機權限提升。使用 Container-Optimized OS 93 和 97 版的 Google Kubernetes Engine (GKE) v1.22、v1.23 和 v1.24 叢集 (包括 Autopilot 叢集) 都會受到影響。其他支援的 GKE 版本不受影響。使用 GKE Sandbox 的 GKE 叢集不受影響。

    該怎麼辦？

    2022 年 12 月 14 日更新： 由於版本迴歸，我們已修訂舊版公告。請手動升級節點集區至下列其中一個 GKE 版本：

    • 1.22.15-gke.2500 以上版本
    • 1.23.13-gke.900 以上版本
    • 1.24.7-gke.900 以上版本

    下列 GKE 版本使用 Container-Optimized OS 93 和 97 版，已在即將推出的版本中更新程式碼，修正這項安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級節點集區至下列其中一個 GKE 版本：

    • 1.22.15-gke.2300 以上版本
    • 1.23.13-gke.700 以上版本
    • 1.24.7-gke.700 以上版本

    「發布版本」的最新功能可讓您套用修補程式，不必取消訂閱版本。這項功能可讓您保護節點，直到新版本成為特定發布管道的預設版本為止。

    這個修補程式修正了哪些安全漏洞？

    根據 CVE-2022-20409，Linux 核心的 io_uring 子系統 io_identity_cow 存在安全漏洞。由於「釋放後使用」安全性漏洞 (UAF)，記憶體可能損毀。本機攻擊者可能會利用這項記憶體損毀問題，發動阻斷服務攻擊 (導致系統當機)，或執行任意程式碼。

    		 高

    VMware 中的 GKE

    更新日期： 2022 年 12 月 14 日

    說明 嚴重性

    Linux 核心中發現新的安全漏洞 CVE-2022-20409，可能導致本機權限提升。

    該怎麼辦？

    2022 年 12 月 14 日更新：下列 Ubuntu 適用的 GKE on VMware 版本已更新程式碼，修正這個安全漏洞。建議您將節點升級至下列任一 GKE on VMware 版本：

    • 1.13.1 以上版本
    • 1.12.3 以上版本
    • 1.11.4 以上版本

    這個修補程式修正了哪些安全漏洞？

    根據 CVE-2022-20409，Linux 核心的 io_uring 子系統中存在 io_identity_cow 漏洞。「釋放後使用」安全性漏洞 (UAF) 可能會導致記憶體損毀。本機攻擊者可能會利用這項記憶體損毀問題，發動阻斷服務攻擊 (導致系統當機)，或執行任意程式碼。

    		 高

    GKE on AWS

    說明 嚴重性

    Linux 核心最近發現一個新安全漏洞 CVE-2022-20409，未經授權的使用者可能會利用這個漏洞，將權限提升至系統執行權限。

    該怎麼辦？

    您無須採取任何行動。GKE on AWS 並未使用受影響的 Linux 核心版本。

    這個修補程式修正了哪些安全漏洞？

    根據 CVE-2022-20409，Linux 核心的 io_uring 子系統中存在 io_identity_cow 漏洞。「釋放後使用」安全性漏洞 (UAF) 可能會導致記憶體損毀。本機攻擊者可能會利用這項記憶體損毀問題，發動阻斷服務攻擊 (導致系統當機)，或執行任意程式碼。

    		 無

    GKE on Azure

    說明 嚴重性

    Linux 核心最近發現一個新安全漏洞 CVE-2022-20409，未經授權的使用者可能會利用這個漏洞，將權限提升至系統執行權限。

    該怎麼辦？

    您無須採取任何行動。GKE on Azure 並未使用受影響的 Linux 核心版本。

    這個修補程式修正了哪些安全漏洞？

    根據 CVE-2022-20409，Linux 核心的 io_uring 子系統中存在 io_identity_cow 漏洞。「釋放後使用」安全性漏洞 (UAF) 可能會導致記憶體損毀。本機攻擊者可能會利用這項記憶體損毀問題，發動阻斷服務攻擊 (導致系統當機)，或執行任意程式碼。

    		 無

    Bare Metal 中的 GKE

    說明 嚴重性

    Linux 核心中發現新的安全漏洞 CVE-2022-20409，可能導致本機權限提升。

    該怎麼辦？

    • 您無須採取任何行動。GKE on Bare Metal 不會受到這項 CVE 影響，因為其發行版本未綁定作業系統。
    		 無

    GCP-2022-021

    發布日期：2022-10-27
    更新日期：2023-01-19、2023-12-21
    參考資料：CVE-2022-3176

    2023 年 12 月 21 日更新： 釐清預設設定的 GKE Autopilot 叢集不受影響。

    2023 年 1 月 19 日更新： GKE 1.21.14-gke.14100 版現已推出。
    2022 年 12 月 15 日更新： 更新資訊，指出 Google Kubernetes Engine 1.21.14-gke.9400 版即將推出，且可能會由較高版本取代。
    2022 年 11 月 21 日更新： 新增 GKE on VMware、GKE on AWS 和 GKE on Azure 的修補程式版本。

    GKE

    更新日期： 2023 年 1 月 19 日、2023 年 12 月 21 日

    說明 嚴重性

    我們在 Linux 核心中發現新的安全漏洞 CVE-2022-3176，這項漏洞可能會導致本機權限提升。沒有權限的使用者可利用這個安全漏洞，在節點上完全突破容器限制，取得 Root 權限。

    2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

    使用 Container-Optimized OS 89 版的 Google Kubernetes Engine (GKE) 1.21 版叢集 (包括 Autopilot 叢集) 都會受到影響。GKE 後續版本不受影響。所有使用 Ubuntu 的 Linux 叢集都會受到影響。使用 GKE Sandbox 的 GKE 叢集不受影響。

    該怎麼辦？

    2023 年 1 月 19 日更新：版本 1.21.14-gke.14100 現已推出。將節點集區升級至這個版本或更新版本。

    2022 年 12 月 15 日更新：版本 1.21.14-gke.9400 即將推出，且可能會被較新的版本取代。新版本推出後，我們會更新這份文件。

    下列 GKE 版本已更新程式碼，修正即將發布版本中的這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級節點集區至下列其中一個 GKE 版本：

    • Container-Optimized OS：
      • 1.21.14-gke.7100 以上版本
    • Ubuntu：
      • 1.21.14-gke.9400 以上版本
      • 1.22.15-gke.2400 以上版本
      • 1.23.13-gke.800 以上版本
      • 1.24.7-gke.800 以上版本
      • 1.25.3-gke.700 以上版本

    「發布版本」的最新功能可讓您套用修補程式，不必取消訂閱版本。這項功能可讓您保護節點，直到新版本成為特定發布管道的預設版本為止。

    這個修補程式修正了哪些安全漏洞？

    Linux 核心的 io_uring 子系統存在 CVE-2022-3176 安全漏洞。 如果缺少 POLLFREE 處理程序，可能會導致「釋放後使用」(UAF) 漏洞遭到利用，進而造成權限升級。

    		高

    VMware 中的 GKE

    更新時間： 2022 年 11 月 21 日

    說明 嚴重性

    我們在 Linux 核心中發現新的安全漏洞 CVE-2022-3176，這個漏洞可能會導致本機權限提升。沒有權限的使用者可利用這個安全漏洞，在節點上完全突破容器限制，取得 Root 權限。

    該怎麼辦？

    • 使用 Container-Optimized OS 的 GKE on VMware 版本不受影響。

    2022 年 11 月 21 日更新：下列 Ubuntu 適用的 GKE on VMware 版本已更新程式碼，修正這個安全漏洞。建議您將節點升級至下列其中一個 GKE on VMware 版本：

    • 1.12.3 以上版本
    • 1.13.1 以上版本
    • 1.11.5 以上版本

    我們很快就會發布含有 Ubuntu 修補程式的 GKE on VMware 版本。GKE on VMware 版本可供下載時，我們會更新這則安全性公告。

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-3176 導致 Linux 核心的 io_uring 子系統出現安全漏洞。 缺少 POLLFREE 處理程序可能會導致「釋放後使用」(UAF) 漏洞遭到利用，進而造成權限升級。

    		高

    GKE on AWS

    更新時間： 2022 年 11 月 21 日

    說明 嚴重性

    我們在 Linux 核心中發現新的安全漏洞 CVE-2022-3176，這項漏洞可能會導致本機權限提升。沒有權限的使用者可利用這個安全漏洞，在節點上完全突破容器限制，取得 Root 權限。

    該怎麼辦？

    2022 年 11 月 21 日更新： 我們已更新下列現有和前幾代的 GKE on AWS 版本，修正這個安全漏洞。建議您將節點升級至下列任一 GKE on AWS 版本：

    目前世代
    • 1.21.14-gke.7100
    • 1.22.15-gke.100
    • 1.23.11-gke.300
    • 1.24.5-gke.200
    上一代
    • 1.22.15-gke.1400
    • 1.23.12-gke.1400
    • 1.24.6-gke.1300

    我們很快就會發布含有 Ubuntu 修補程式的 GKE on AWS 版本。GKE on AWS 版本可供下載時，我們會更新這則安全公告。

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-3176 導致 Linux 核心的 io_uring 子系統出現安全漏洞。 缺少 POLLFREE 處理程序可能會導致「釋放後使用」(UAF) 漏洞遭到利用，進而造成權限升級。

    		高

    GKE on Azure

    更新時間： 2022 年 11 月 21 日

    說明 嚴重性

    我們在 Linux 核心中發現新的安全漏洞 CVE-2022-3176，這項漏洞可能會導致本機權限提升。沒有權限的使用者可利用這個安全漏洞，在節點上完全突破容器限制，取得 Root 權限。

    該怎麼辦？

    2022 年 11 月 21 日更新： Azure 上的 GKE 已更新下列版本，修正這個安全漏洞。建議您將節點升級至下列任一 GKE on Azure 版本：

    • 1.21.14-gke.7100
    • 1.22.15-gke.100
    • 1.23.11-gke.300
    • 1.24.5-gke.200

    我們很快就會發布包含 Ubuntu 修補程式的 Azure 版 GKE。GKE on Azure 版本可供下載時，我們會更新這則安全性公告。

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-3176 導致 Linux 核心的 io_uring 子系統出現安全漏洞。 缺少 POLLFREE 處理程序可能會導致「釋放後使用」(UAF) 漏洞遭到利用，進而造成權限升級。

    		高

    Bare Metal 中的 GKE

    說明 嚴重性

    我們在 Linux 核心中發現新的安全漏洞 CVE-2022-3176，這個漏洞可能會導致本機權限提升。沒有權限的使用者可利用這個安全漏洞，在節點上完全突破容器限制，取得 Root 權限。

    該怎麼辦？

    您無須採取行動，GKE on Bare Metal 不會受到這項 CVE 影響，因為其發行版本未綁定作業系統。

    		 無

    GCP-2022-018

    發布日期：2022-08-01
    更新日期：2022-09-14、2023-12-21
    參考資料：CVE-2022-2327

    2023 年 12 月 21 日更新： 釐清預設設定的 GKE Autopilot 叢集不受影響。

    2022 年 9 月 14 日更新： 新增 GKE on VMware、GKE on AWS 和 GKE on Azure 的修補程式版本。

    GKE

    更新日期： 2023 年 12 月 21 日

    說明 嚴重性

    我們在 Linux 核心中發現新的安全漏洞 (CVE-2022-2327)，可能導致本機權限提升。沒有權限的使用者可利用這項安全漏洞，在節點上完全突破容器限制，取得 Root 權限。

    技術詳細資料

    2023 年 12 月 21 日更新：原始公告指出 Autopilot 叢集會受到影響，但這是錯誤資訊。預設設定的 GKE Autopilot 叢集不會受到影響，但如果您明確設定 seccomp Unconfined 設定檔或允許 CAP_NET_ADMIN，則可能會受到影響。

    使用 Linux 核心 5.10 版的 Container-Optimized OS (COS) 的 GKE 叢集 (包括 Autopilot 叢集) 都會受到影響。使用 Ubuntu 映像檔或 GKE Sandbox 的 GKE 叢集不受影響。

    該怎麼辦？

    將 GKE 叢集升級至包含修正程式的版本。 我們已更新 COS 的 Linux 節點映像檔，以及使用這些 COS 版本的 GKE 版本。

    為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級節點集區至下列其中一個 GKE 版本：

    COS 版本

    • 1.22.12-gke.300
    • 1.23.8-gke.1900
    • 1.24.2-gke.1900


    發布版本的最新功能可讓您套用修補程式，不必取消訂閱頻道。這樣一來，您就能在所選發布管道的預設版本更新前，將節點升級至修補版本。

    這個修補程式修正了哪些安全漏洞？

    在 CVE-2022-2327 中，5.10 版的 Linux 核心在 io_uring 子系統中存在安全漏洞，導致各種要求缺少項目類型 (旗標)。如果使用這些要求時未指定適當的項目類型，可能會導致權限升級為根層級。    		 高

    VMware 中的 GKE

    更新日期： 2022 年 9 月 14 日

    說明 嚴重性

    我們在 Linux 核心中發現一個新安全漏洞 (CVE-2022-2327)，可能導致本機權限提升。沒有權限的使用者可利用這項漏洞，完全突破容器限制，取得節點的 Root 權限。

    使用 GKE on VMware 1.10、1.11 和 1.12 版的叢集，若採用 Container Optimized OS (COS) 映像檔，就會受到影響。

    該怎麼辦？

    2022 年 9 月 14 日更新：下列版本的 GKE on VMware 包含修正此安全漏洞的程式碼。

    • 1.10.6 以上版本
    • 1.11.3 以上版本
    • 1.12.1 以上版本

    我們很快就會發布包含修補程式的 GKE on VMware 版本。GKE on VMware 版本開放下載後，這則安全性公告就會更新。

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-2327 漏洞會影響 5.10 版的 Linux 核心，io_uring 子系統缺少各種要求項目類型 (旗標)。如果使用這些要求時未指定適當的項目類型，可能會導致權限升級為根層級。

    		 高

    GKE on AWS

    更新日期： 2022 年 9 月 14 日

    說明 嚴重性
    。

    我們在 Linux 核心中發現一個新的安全漏洞 (CVE-2022-2327)，可能導致本機權限提升。這個安全漏洞會導致沒有權限的使用者完全突破容器限制，取得節點的 Root 權限。

    該怎麼辦？

    2022 年 9 月 14 日更新：我們已更新下列 GKE on AWS 的現有和舊版，修正這個安全漏洞。建議您將節點升級至下列任一 GKE on AWS 版本：

    目前世代

    • 1.23.8-gke.1700
    • 1.22.12-gke.200
    • 1.21.14-gke.2100

    上一代

    • 1.23.8-gke.2000
    • 1.22.12-gke.300
    • 1.21.14-gke.2100

    我們很快就會發布含有修補程式的 GKE on AWS 版本。 GKE on AWS 版本可供下載時，我們會更新這則安全公告。

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-2327 漏洞會影響 5.10 版的 Linux 核心，io_uring 子系統缺少各種要求項目類型 (旗標)。如果使用這些要求時未指定適當的項目類型，可能會導致權限升級為根層級。

    		 高

    GKE on Azure

    更新日期： 2022 年 9 月 14 日

    說明 嚴重性

    我們在 Linux 核心中發現一個新的安全漏洞 (CVE-2022-2327)，可能導致本機權限提升。沒有權限的使用者可透過這項安全漏洞，在節點上完全突破容器限制，取得 Root 權限。

    該怎麼辦？

    2022 年 9 月 14 日更新：下列 Azure 上的 GKE 版本已更新程式碼，修正這個安全漏洞。建議您將節點升級至下列任一 GKE on Azure 版本：

    • 1.23.8-gke.1700
    • 1.22.12-gke.200
    • 1.21.14-gke.2100

    我們很快就會發布包含修補程式的 Azure 版 GKE 版本。 GKE on Azure 版本可供下載時，我們會更新這則安全性公告。

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-2327 漏洞會導致 5.10 版 Linux 核心的 io_uring 子系統出現安全漏洞，導致各種要求缺少項目類型 (旗標)。如果使用這些要求時未指定適當的項目類型，可能會導致權限升級為根層級。

    		 高

    適用於 Bare Metal 的 Google Distributed Cloud Virtual

    說明 嚴重性

    我們在 Linux 核心中發現一個新安全漏洞 (CVE-2022-2327)，可能導致本機權限提升。這項安全漏洞會導致沒有權限的使用者完全突破容器限制，取得節點的 Root 權限。

    該怎麼辦？

    您無須採取任何行動。Google Distributed Cloud Virtual for Bare Metal 不受這項 CVE 影響，因為其發行版本未綁定作業系統。

    		 無

    GCP-2022-017

    發布日期：2022 年 6 月 29 日
    更新日期：2022 年 11 月 22 日
    參考資料：CVE-2022-1786
    2022 年 11 月 22 日更新：更新使用 GKE Sandbox 的工作負載相關資訊。
    2022 年 7 月 21 日更新： 更新資訊，指出 GKE on VMware COS 映像檔受到影響。

    GKE

    更新日期： 2022 年 11 月 22 日

    說明 嚴重性

    2022 年 11 月 22 日更新： 使用 GKE Sandbox 的工作負載不會受到這些安全漏洞影響。

    Linux 核心 5.10 和 5.11 版最近發現新的安全漏洞 (CVE-2022-1786)。這個漏洞會讓沒有權限的使用者在本機存取叢集，進而完全突破容器限制，取得節點的根層級存取權。只有執行 Container-Optimized OS 的叢集會受到影響。GKE Ubuntu 版本使用核心 5.4 或 5.15 版，因此不受影響。

    該怎麼辦？

    下列 GKE 版本的 Container-Optimized OS Linux 節點映像檔已更新程式碼，修正這個安全漏洞。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級節點集區至下列即將推出的 GKE 版本：

    • 1.22.10-gke.600
    • 1.23.7-gke.1400
    • 1.24.1-gke.1400

    最近推出的發布管道功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能在所選發布管道預設使用修補版本前，將節點升級至該版本。

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-1786 是在 Linux 核心的 io_uring 子系統中發現的釋放後使用 (use-after-free) 缺陷。如果使用者透過 IORING_SETUP_IOPOLL 設定環，且環上有超過一個工作完成提交作業，本機使用者可能會導致系統當機或提升權限。

    		 高

    VMware 中的 GKE

    更新日期： 2022 年 7 月 14 日

    說明 嚴重性

    Linux 核心 5.10 和 5.11 版最近發現新的安全漏洞 (CVE-2022-1786)。這個漏洞可讓沒有權限的使用者在本機存取叢集，進而完全突破容器限制，取得節點的根層級存取權。

    該怎麼辦？

    2022 年 7 月 21 日更新：下列版本的 GKE on VMware 包含修正此安全漏洞的程式碼。

    COS
    • 1.10.5 以上版本
    • 1.11.2 以上版本
    • 1.12.0 以上版本
    Ubuntu

    您無須採取任何行動。GKE on VMware 並未使用受影響的 Linux 核心版本。

    		 無

    GKE on AWS

    說明 嚴重性

    Linux 核心 5.10 和 5.11 版最近發現新的安全漏洞 (CVE-2022-1786)。這個漏洞可讓沒有權限的使用者在本機存取叢集，進而完全突破容器限制，取得節點的根層級存取權。

    該怎麼辦？

    您無須採取任何行動。GKE on AWS 並未使用受影響的 Linux 核心版本。

    		 無

    GKE on Azure

    說明 嚴重性

    Linux 核心 5.10 和 5.11 版最近發現新的安全漏洞 (CVE-2022-1786)。這個漏洞可讓沒有權限的使用者在本機存取叢集，進而完全突破容器限制，取得節點的根層級存取權。

    該怎麼辦？

    您無須採取任何行動。GKE on Azure 並未使用受影響的 Linux 核心版本。

    		 無

    適用於 Bare Metal 的 Google Distributed Cloud Virtual

    說明 嚴重性

    Linux 核心 5.10 和 5.11 版最近發現新的安全漏洞 (CVE-2022-1786)。這個漏洞可讓沒有權限的使用者在本機存取叢集，進而完全突破容器限制，取得節點的根層級存取權。

    該怎麼辦？

    您無須採取任何行動。Google Distributed Cloud Virtual for Bare Metal 不受這項 CVE 影響，因為其發行版本未綁定作業系統。

    		 無

    GCP-2022-016

    發布日期：2022 年 6 月 23 日
    更新日期：2022 年 11 月 22 日
    參考資料：CVE-2022-29581、CVE-2022-29582、CVE-2022-1116
    2022 年 11 月 22 日更新：新增在 Autopilot 叢集中執行的工作負載相關資訊。
    2022 年 7 月 29 日更新： 更新了 GKE on VMware、 GKE on AWS 和 GKE on Azure 的版本。

    GKE

    更新日期： 2022 年 11 月 22 日

    說明 嚴重性

    2022 年 11 月 22 日更新： Autopilot 叢集不會受到 CVE-2022-29581 影響，但容易受到 CVE-2022-29582 和 CVE-2022-1116 影響。

    2022 年 7 月 29 日更新： 使用 GKE Sandbox 的 Pod 不會受到這些安全漏洞影響。

    Linux 核心中發現了三個新的記憶體損毀安全漏洞 (CVE-2022-29581、CVE-2022-29582、CVE-2022-1116)。這些漏洞會讓沒有權限的使用者在本機存取叢集時，完全突破容器限制，取得節點的根層級存取權。所有 Linux 叢集 (Container-Optimized OS 和 Ubuntu) 都會受到影響。

    該怎麼辦？

    針對下列 GKE 版本，Container-Optimized OS 和 Ubuntu 的 Linux 節點映像檔版本均已更新，並包含修正此安全漏洞的程式碼。為確保安全性，即使已啟用節點自動升級功能，我們仍建議您手動升級節點集區至下列其中一個 GKE 版本：

    • Container-Optimized OS：
      • 1.19.16-gke.13800
      • 1.20.15-gke.8000
      • 1.21.12-gke.1500
      • 1.22.9-gke.1300
      • 1.23.6-gke.1500
      • 1.24.1-gke.1400
    • Ubuntu：
      • 1.20.15-gke.9600
      • 1.21.13-gke.900
      • 1.22.10-gke.600
      • 1.23.7-gke.1400
      • 1.24.1-gke.1400

    發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能在所選發布管道預設使用修補版本前，將節點升級至該版本。

    這個修補程式修正了哪些安全漏洞？

    在 CVE-2022-29582 中，由於 io_uring 逾時的競爭狀況，5.17.3 之前的 Linux 核心版本會發生釋放後使用 (use-after-free) 的情況。

    CVE-2022-29581 和 CVE-2022-1116 漏洞會導致本機攻擊者在 Linux 核心的 io_uring 或 net/sched 中造成記憶體損毀，進而將權限提升至根層級。

    		 高

    VMware 中的 GKE

    更新日期： 2022 年 7 月 29 日

    說明 嚴重性

    2022 年 7 月 29 日更新：下列版本的 GKE on VMware 包含可修正這些安全漏洞的程式碼。

    • 1.9.7 以上版本
    • 1.10.5 以上版本
    • 1.11.2 以上版本
    • 1.12.0 以上版本

    Linux 核心中發現了三個新的記憶體損毀安全漏洞 (CVE-2022-29581、CVE-2022-29582、CVE-2022-1116)。這些漏洞會讓沒有權限的使用者在本機存取叢集時，完全突破容器限制，取得節點的根層級存取權。這些安全漏洞會影響 Container-Optimized OS 和 Ubuntu 映像檔的 GKE on VMware v1.9 以上版本。

    該怎麼辦？

    我們很快就會發布包含修補程式的 GKE on VMware 版本。GKE on VMware 版本可供下載時，這則安全性公告就會更新。

    這個修補程式修正了哪些安全漏洞？

    在 CVE-2022-29582 中，由於 io_uring 逾時的競爭狀況，5.17.3 之前的 Linux 核心版本會發生釋放後使用 (use-after-free) 的情況。

    CVE-2022-29581 和 CVE-2022-1116 漏洞會導致本機攻擊者在 Linux 核心的 io_uring 或 net/sched 中造成記憶體損毀，進而將權限提升至根層級。

    		 高

    GKE on AWS

    更新日期： 2022 年 7 月 29 日

    說明 嚴重性

    2022 年 7 月 29 日更新： 更新：下列目前和前幾代的 GKE on AWS 版本已更新程式碼，修正這些安全漏洞。建議您將節點升級至下列其中一個 GKE on AWS 版本：

    目前世代：

    • 1.23.7-gke.1300
    • 1.22.10-gke.1500
    • 1.21.11-gke.1900
    上一代：
    • 1.23.7-gke.1500
    • 1.22.10-gke.1500
    • 1.21.13-gke.1600

    Linux 核心中發現了三個新的記憶體損毀安全漏洞 (CVE-2022-29581、CVE-2022-29582、CVE-2022-1116)。這些漏洞會讓沒有權限的使用者在本機存取叢集時，完全突破容器限制，取得節點的根層級存取權。這些安全漏洞會影響所有版本的 GKE on AWS。

    該怎麼辦？

    我們很快就會發布包含修補程式的 GKE on AWS 版本。GKE on AWS 版本開放下載後，我們會更新這則安全公告。

    這個修補程式修正了哪些安全漏洞？

    在 CVE-2022-29582 中，由於 io_uring 逾時的競爭狀況，5.17.3 之前的 Linux 核心版本會發生釋放後使用 (use-after-free) 的情況。

    CVE-2022-29581 和 CVE-2022-1116 漏洞會導致本機攻擊者在 Linux 核心的 io_uring 或 net/sched 中造成記憶體損毀，進而將權限提升至根層級。

    		 高

    GKE on Azure

    說明 嚴重性

    2022 年 7 月 29 日更新： 更新：下列版本的 GKE on Azure 已更新程式碼，修正這些安全漏洞。建議您將節點升級至下列任一 GKE on Azure 版本：

    • 1.23.7-gke.1300
    • 1.22.10-gke.1500
    • 1.21.11-gke.1900

    Linux 核心中發現了三個新的記憶體損毀安全漏洞 (CVE-2022-29581、CVE-2022-29582、CVE-2022-1116)。這些漏洞會讓沒有權限的使用者在本機存取叢集時，完全突破容器限制，取得節點的根層級存取權。這些安全漏洞會影響所有版本的 Azure 版 GKE。

    該怎麼辦？

    我們很快就會發布包含修補程式的 Azure 版 GKE。GKE on Azure 版本開放下載後，這則安全性公告就會更新。

    這個修補程式修正了哪些安全漏洞？

    在 CVE-2022-29582 中，由於 io_uring 逾時的競爭狀況，5.17.3 之前的 Linux 核心版本會發生釋放後使用 (use-after-free) 的情況。

    CVE-2022-29581 和 CVE-2022-1116 漏洞會導致本機攻擊者在 Linux 核心的 io_uring 或 net/sched 中造成記憶體損毀，進而將權限提升至根層級。

    		 高

    適用於 Bare Metal 的 Google Distributed Cloud Virtual

    說明 嚴重性

    Linux 核心中發現了三個新的記憶體損毀安全漏洞 (CVE-2022-29581、CVE-2022-29582、CVE-2022-1116)。這些漏洞會讓沒有權限的使用者在本機存取叢集時，完全突破容器限制，取得節點的根層級存取權。

    該怎麼辦？

    您無須採取任何行動。Google Distributed Cloud Virtual for Bare Metal 不會受到這個安全漏洞影響，因為其發行版本未綁定作業系統。

    		 無

    GCP-2022-014

    發布日期：2022 年 4 月 26 日
    更新日期：2022 年 11 月 22 日
    2022 年 11 月 22 日更新：新增在 Autopilot 叢集中執行的工作負載相關資訊。
    2022 年 5 月 12 日更新：更新了 AWS 上的 GKE 和 Azure 上的 GKE 的修補程式版本。
    參考資料： CVE-2022-1055、CVE-2022-27666

    GKE

    更新日期： 2022 年 11 月 22 日

    說明 嚴重性

    2022 年 11 月 22 日更新： 在 GKE Sandbox 中執行的 GKE Autopilot 叢集和工作負載不會受到這些安全漏洞影響。

    Linux 核心中發現兩個安全漏洞：CVE-2022-1055 和 CVE-2022-27666。這兩種情況都可能導致本機攻擊者能夠執行容器突破、提升主機權限，或同時執行這兩項操作。所有 GKE 節點作業系統 (Container-Optimized OS 和 Ubuntu) 都會受到這些安全漏洞影響。

    技術詳細資料

    在 CVE-2022-1055 中，攻擊者可以利用 tc_new_tfilter() 中的「釋放後使用」漏洞，在容器中將權限升級為節點上的根層級。

    在 CVE-2022-27666 中，esp/esp6_output_head 的緩衝區溢位漏洞會讓容器中的本機攻擊者將節點上的權限提升至根層級。

    該怎麼辦？

    下列 GKE 版本的 Linux 節點映像檔已更新，並包含修正這些安全漏洞的程式碼。將叢集升級至下列即將推出的 GKE 版本：

    • 1.19.16-gke.11000 以上版本
    • 1.20.15-gke.5200 以上版本
    • 1.21.11-gke.1100 以上版本
    • 1.22.8-gke.200 以上版本
    • 1.23.5-gke.1500 以上版本

    這個修補程式修正了哪些安全漏洞？

    		 高

    VMware 中的 GKE

    說明 嚴重性

    Linux 核心中發現兩個安全漏洞：CVE-2022-1055 和 CVE-2022-27666。這兩種情況都可能導致本機攻擊者能夠執行容器突破、提升主機權限，或同時執行這兩項操作。所有 GKE 節點作業系統 (Container-Optimized OS 和 Ubuntu) 都會受到這些安全漏洞影響。

    技術詳細資料

    在 CVE-2022-1055 中，攻擊者可以利用 tc_new_tfilter() 中的「釋放後使用」漏洞，在容器中將權限升級為節點上的根層級。

    在 CVE-2022-27666 中，esp/esp6_output_head 的緩衝區溢位漏洞會讓容器中的本機攻擊者將節點上的權限提升至根層級。

    該怎麼辦？

    將叢集升級至修補版本。以下 GKE on VMware 版本或更高版本均包含這個安全漏洞的修正措施：

    • 1.9.6 (即將推出)
    • 1.10.3
    • 1.11.0 (即將推出)

    這個修補程式修正了哪些安全漏洞？

    		 高

    GKE on AWS

    更新日期： 2022 年 5 月 12 日

    說明 嚴重性

    Linux 核心中發現兩個安全漏洞：CVE-2022-1055 和 CVE-2022-27666。這兩種情況都可能導致本機攻擊者能夠執行容器突破、提升主機權限，或同時執行這兩項操作。所有 GKE 節點作業系統 (Container-Optimized OS 和 Ubuntu) 都會受到這些安全漏洞影響。

    技術詳細資料

    在 CVE-2022-1055 中，攻擊者可以利用 tc_new_tfilter() 中的「釋放後使用」漏洞，在容器中將權限升級為節點上的根層級。

    在 CVE-2022-27666 中，esp/esp6_output_head 的緩衝區溢位漏洞會讓容器中的本機攻擊者將節點上的權限提升至根層級。

    該怎麼辦？

    2022 年 5 月 12 日更新： 我們已更新下列 GKE on AWS 的現有和舊版版本，修正這些安全漏洞。建議您將節點升級至下列任一 GKE on AWS 版本：

    目前世代
    • 1.21.11-gke.1100
    • 1.22.8-gke.1300
    上一代
    • 1.20.15-gke.5200
    • 1.21.11-gke.1100
    • 1.22.8-gke.1300

    將叢集升級至修補版本。我們將在日後推出的版本中提供修補程式。我們會在這些連結建立完成後，修訂這份公告。

    這個修補程式修正了哪些安全漏洞？

    		 高

    GKE on Azure

    更新日期： 2022 年 5 月 12 日

    說明 嚴重性

    Linux 核心中發現兩個安全漏洞：CVE-2022-1055 和 CVE-2022-27666。這兩種情況都可能導致本機攻擊者能夠執行容器突破、提升主機權限，或同時執行這兩項操作。所有 GKE 節點作業系統 (Container-Optimized OS 和 Ubuntu) 都會受到這些安全漏洞影響。

    技術詳細資料

    在 CVE-2022-1055 中，攻擊者可以利用 tc_new_tfilter() 中的「釋放後使用」漏洞，在容器中將權限升級為節點上的根層級。

    在 CVE-2022-27666 中，esp/esp6_output_head 的緩衝區溢位漏洞會讓容器中的本機攻擊者將節點上的權限提升至根層級。

    該怎麼辦？

    2022 年 5 月 12 日更新： 下列版本的 GKE on Azure 已更新程式碼，修正這些安全漏洞。建議您將節點升級至下列任一 GKE on Azure 版本：

    • 1.21.11-gke.1100
    • 1.22.8-gke.1300

    將叢集升級至修補版本。我們將在日後推出的版本中提供修補程式。我們會在這些連結建立完成後，修訂這份公告。

    這個修補程式修正了哪些安全漏洞？

    		 高

    適用於 Bare Metal 的 Google Distributed Cloud Virtual

    說明 嚴重性

    Linux 核心中發現兩個安全漏洞：CVE-2022-1055 和 CVE-2022-27666。這兩種情況都可能導致本機攻擊者能夠執行容器突破、提升主機權限，或同時執行這兩項操作。所有 GKE 節點作業系統 (Container-Optimized OS 和 Ubuntu) 都會受到這些安全漏洞影響。

    技術詳細資料

    在 CVE-2022-1055 中，攻擊者可以利用 tc_new_tfilter() 中的「釋放後使用」漏洞，在容器中將權限升級為節點上的根層級。

    在 CVE-2022-27666 中，esp/esp6_output_head 的緩衝區溢位漏洞會讓容器中的本機攻擊者將節點上的權限提升至根層級。

    該怎麼辦？

    您無須採取任何行動。Google Distributed Cloud Virtual for Bare Metal 不受這項 CVE 影響，因為其套件不含 Linux。請務必將使用的節點映像檔更新至包含 CVE-2022-1055 和 CVE-2022-27666 修正版本的版本。

    這個修補程式修正了哪些安全漏洞？

    		 高

    GCP-2022-013

    發布日期：2022 年 4 月 11 日
    更新日期：2022 年 4 月 20 日
    參考資料：CVE-2022-23648
    2022 年 4 月 22 日更新：更新 Google Distributed Cloud Virtual for Bare Metal 和 GKE on VMware 的修補程式版本。

    GKE

    說明 嚴重性

    我們在 containerd 處理 OCI 映像檔磁碟區規格中的路徑遍歷時，發現安全漏洞 CVE-2022-23648。透過 containerd 的 CRI 實作項目啟動容器時，如果使用特製的映像檔設定，容器可能會取得主機上任意檔案和目錄的完整讀取權。

    這項安全漏洞可能會略過容器設定中任何以政策為準的強制執行措施 (包括 Kubernetes Pod 安全性政策)。這項安全漏洞會影響所有預設使用 containerd 的 GKE 節點作業系統 (Container-Optimized OS 和 Ubuntu)。所有 GKE、Autopilot 和 GKE Sandbox 節點都會受到影響。

    該怎麼辦？

    下列 GKE 版本的 Linux 節點映像檔已更新，並包含修正這項安全漏洞的程式碼。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級節點至下列其中一個 GKE 版本：

    • 1.19.16-gke.9400
    • 1.20.15-gke.3600
    • 1.21.10-gke.1500
    • 1.22.7-gke.1500
    • 1.23.4-gke.1500

    發布管道的最新功能可讓您套用修補程式，不必取消訂閱管道。這樣一來，您就能確保節點安全，直到新版本成為特定發布管道的預設版本為止。

    		 中

    VMware 中的 GKE

    更新日期： 2022 年 4 月 22 日

    說明 嚴重性

    我們在 containerd 處理 OCI 映像檔磁碟區規格中的路徑遍歷時，發現安全漏洞 CVE-2022-23648。透過 containerd 的 CRI 實作項目啟動容器時，如果使用特製的映像檔設定，容器可能會取得主機上任意檔案和目錄的完整讀取權。

    這項安全漏洞可能會略過容器設定中任何以政策為準的強制執行措施 (包括 Kubernetes Pod 安全性政策)。這項安全漏洞會影響所有已啟用 Stackdriver 的 GKE on VMware，這些服務都使用 containerd。GKE on VMware 1.8、1.9 和 1.10 版會受到影響

    該怎麼辦？

    2022 年 4 月 22 日更新： 下列版本的 GKE on VMware 包含修正此安全漏洞的程式碼。

    • 1.9.5 以上版本
    • 1.10.3 以上版本
    • 1.11.0 以上版本

    下列 GKE on VMware 版本已更新程式碼，可修正這個安全漏洞。建議您將節點升級至下列任一 GKE on VMware 版本：

    • 1.8.8 以上版本
    • 1.9.5 以上版本
    • 1.10.2 以上版本

    將 IgnoreImageDefinedVolumes 設為 true 即可減輕這個 CVE 的影響。

    		 中

    GKE on AWS

    說明 嚴重性

    我們在 containerd 處理 OCI 映像檔磁碟區規格中的路徑遍歷時，發現安全漏洞 CVE-2022-23648。透過 containerd 的 CRI 實作項目啟動容器時，如果使用特製的映像檔設定，容器可能會取得主機上任意檔案和目錄的完整讀取權。

    這項安全漏洞可能會略過容器設定中任何以政策為準的強制執行措施 (包括 Kubernetes Pod 安全性政策)。所有 GKE on AWS 版本都會受到影響。

    該怎麼辦？

    下列 GKE on AWS 版本已更新程式碼，修正這個安全漏洞。建議您將節點升級至下列其中一個 GKE on AWS 版本。

    GKE on AWS (目前這一代)
    • 1.22 版：1.22.8-gke.200
    • 1.21 版：1.21.11-gke.100
    GKE on AWS (舊版)
    • 1.22 版：1.22.8-gke.300
    • 1.21 版：1.21.11-gke.100
    • 1.20 版：1.20.15-gke.2200

    將 IgnoreImageDefinedVolumes 設為 true 即可減輕這個 CVE 的影響。

    		 中

    GKE on Azure

    說明 嚴重性

    我們在 containerd 處理 OCI 映像檔磁碟區規格中的路徑遍歷時，發現安全漏洞 CVE-2022-23648。透過 containerd 的 CRI 實作項目啟動容器時，如果使用特製的映像檔設定，容器可能會取得主機上任意檔案和目錄的完整讀取權。

    這項安全漏洞可能會略過容器設定中任何以政策為準的強制執行措施 (包括 Kubernetes Pod 安全性政策)。所有 Azure 上的 GKE 版本都會受到影響。

    該怎麼辦？

    下列 GKE on Azure 版本已更新程式碼，可修正這個安全漏洞。建議您按照下列步驟升級節點：

    • 1.22 版：1.22.8-gke.200
    • 1.21 版：1.21.11-gke.100

    將 IgnoreImageDefinedVolumes 設為 true 即可減輕這個 CVE 的影響。

    		 中

    適用於 Bare Metal 的 Google Distributed Cloud Virtual

    更新日期： 2022 年 4 月 22 日

    說明 嚴重性

    我們在 containerd 處理 OCI 映像檔磁碟區規格中的路徑遍歷時，發現安全漏洞 CVE-2022-23648。透過 containerd 的 CRI 實作項目啟動容器時，如果使用特製的映像檔設定，容器可能會取得主機上任意檔案和目錄的完整讀取權。

    這項安全漏洞可能會略過容器設定中任何以政策為準的強制執行措施 (包括 Kubernetes Pod 安全性政策)。所有使用 containerd 的 Google Distributed Cloud Virtual for Bare Metal 都會受到這個安全漏洞影響。適用於裸機的 Google Distributed Cloud Virtual 1.8、1.9 和 1.10 版會受到影響

    該怎麼辦？

    2022 年 4 月 22 日更新： 下列版本的 Google Distributed Cloud Virtual for Bare Metal 包含可修正此安全漏洞的程式碼。

    • 1.8.9 以上版本
    • 1.9.6 以上版本
    • 1.10.3 以上版本
    • 1.11.0 以上版本

    下列 Google Distributed Cloud Virtual for Bare Metal 版本已更新程式碼，可修正這個安全漏洞。建議您將節點升級至下列任一 Google Distributed Cloud Virtual for Bare Metal 版本：

    • 1.8.8 以上版本
    • 1.9.5 以上版本
    • 1.10.2 以上版本

    將 IgnoreImageDefinedVolumes 設為 true 即可減輕這個 CVE 的影響。

    		 中

    GCP-2022-012

    發布日期：2022 年 4 月 7 日
    更新日期：2022 年 11 月 22 日
    參考資料：CVE-2022-0847
    2022 年 11 月 22 日更新：更新使用 GKE Sandbox 的工作負載相關資訊。

    GKE

    更新日期： 2022 年 11 月 22 日

    說明 嚴重性

    2022 年 11 月 22 日更新： 使用 GKE Sandbox 的工作負載不會受到這些安全漏洞影響。

    Linux 核心 5.8 以上版本最近發現安全漏洞 CVE-2022-0847，可能會將容器權限提升為 Root。凡是使用 Container-Optimized OS 映像檔 (Container-Optimized OS 93 以上版本) 的 GKE 節點集區，都會受到這項安全漏洞影響。使用 Ubuntu OS 的 GKE 節點集區不受影響。

    該怎麼辦？

    下列 GKE 版本的 Linux 節點映像檔已更新，並包含修正這項安全漏洞的程式碼。為確保安全，即使已啟用節點自動升級功能，我們仍建議您手動升級節點集區至下列其中一個 GKE 版本：

    • 1.22.7-gke.1500 以上版本
    • 1.23.4-gke.1600 以上版本

    發布管道的最新功能可讓您套用其他發布管道的修補程式版本，不必取消訂閱管道。這樣一來，您就能保護節點，直到新版本成為特定發布管道的預設版本為止。

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-0847 與 Linux 核心 5.8 版中導入的 PIPE_BUF_FLAG_CAN_MERGE 標記有關。在這個安全漏洞中，Linux 核心缺少新管道緩衝區結構的「flags」成員適當初始化作業。未經授權的本機攻擊者可利用這個安全漏洞，對唯讀檔案支援的頁面快取中的頁面進行寫入，並提升權限。

    修正這個問題的新版 Container-Optimized OS 已整合至 GKE 的更新節點集區版本。

    		 高

    VMware 中的 GKE

    說明 嚴重性

    我們在 Linux 核心 5.8 以上版本中發現安全漏洞 CVE-2022-0847，這項漏洞可能會將權限提升至 Root。這個安全漏洞會影響 Container-Optimized OS 映像檔的 GKE on VMware v1.10。目前，搭載 Ubuntu 的 GKE on VMware 使用的是核心版本 5.4，因此不會受到這項攻擊影響。

    該怎麼辦？

    下列 GKE on VMware 版本的 Linux 節點映像檔已更新程式碼，可修正這個安全漏洞。建議您將管理員和使用者叢集升級至下列 GKE on VMware 版本：

    • 1.10.3

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-0847 與 Linux 核心 5.8 版中導入的 PIPE_BUF_FLAG_CAN_MERGE 標記有關。在這個安全漏洞中，Linux 核心缺少新管道緩衝區結構的「flags」成員適當初始化作業。未經授權的本機攻擊者可利用這個安全漏洞，對唯讀檔案支援的頁面快取中的頁面進行寫入，並提升權限。

    新版 Container-Optimized OS 已整合至更新版 GKE on VMware，可修正這個問題。

    		 高

    GKE on AWS

    說明 嚴重性

    我們在 Linux 核心 5.8 以上版本中發現安全漏洞 CVE-2022-0847，可能會導致權限升級為 Root。

    這項安全漏洞會影響 GKE on AWS v1.21 的代管叢集，以及執行 GKE on AWS (舊版) v1.19、v1.20、v1.21 的叢集 (使用 Ubuntu)。

    該怎麼辦？

    下列 GKE on AWS 版本的 Linux 節點映像檔已更新程式碼，修正這個安全漏洞。

    如果是受管理的 GKE on AWS，建議將使用者叢集和節點集區升級至下列其中一個版本：

    • 1.21.11-gke.100

    如果是 k-lite GKE on AWS，建議您將 AWSManagementService、AWSCluster 和 AWSNodePool 物件升級至下列版本：

    • 1.21.11-gke.100
    • 1.20.15-gke.2200

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-0847 與 Linux 核心 5.8 版中導入的 PIPE_BUF_FLAG_CAN_MERGE 標記有關。在這個安全漏洞中，Linux 核心缺少新管道緩衝區結構的「flags」成員適當初始化作業。未經授權的本機攻擊者可利用這個安全漏洞，對唯讀檔案支援的頁面快取中的頁面進行寫入，並提升權限。

    		 高

    GKE on Azure

    說明 嚴重性

    我們在 Linux 核心 5.8 以上版本中發現安全漏洞 CVE-2022-0847，這項漏洞可能會將權限提升至 Root。這個安全漏洞會影響使用 Ubuntu 的 GKE on Azure v1.21 代管叢集。

    該怎麼辦？

    下列 Azure 上的 GKE 版本已更新 Linux 節點映像檔版本，並修正這項安全漏洞。建議您將使用者叢集和節點集區升級至下列版本：

    • 1.21.11-gke.100

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-0847 與 Linux 核心 5.8 版中導入的 PIPE_BUF_FLAG_CAN_MERGE 標記有關。在這個安全漏洞中，Linux 核心缺少新管道緩衝區結構的「flags」成員適當初始化作業。未經授權的本機攻擊者可利用這個安全漏洞，對唯讀檔案支援的頁面快取中的頁面進行寫入，並提升權限。

    		 高

    適用於 Bare Metal 的 Google Distributed Cloud Virtual

    說明 嚴重性

    我們在 Linux 核心 5.8 以上版本中發現安全漏洞 CVE-2022-0847，可能會導致權限升級為 Root。

    該怎麼辦？

    您無須採取任何行動。Google Distributed Cloud Virtual for Bare Metal 不受這項 CVE 影響，因為其套件不含 Linux。請務必將使用的節點映像檔更新至包含 CVE-2022-0847 修正程式的版本。

    		 高

    GCP-2022-011

    發布日期：2022-03-22
    更新日期：2022-08-11

    2022 年 8 月 11 日更新： 新增 SMT 設定錯誤的影響相關詳細資訊。

    GKE

    說明 嚴重性

    2022 年 8 月 11 日更新：新增多執行緒並行 (SMT) 設定的相關資訊。SMT 應停用，但已在列出的版本中啟用。

    如果您手動為沙箱化節點集區啟用 SMT，即使發生這個問題，SMT 仍會保持手動啟用狀態。

    GKE Sandbox 映像檔的同時多執行緒 (SMT) (又稱超執行緒) 設定有誤。設定錯誤可能會導致節點暴露於側通道攻擊，例如微架構資料取樣 (MDS) (如需更多背景資訊，請參閱 GKE Sandbox 說明文件)。我們不建議使用下列受影響的版本：

    • 1.22.4-gke.1501
    • 1.22.6-gke.300
    • 1.23.2-gke.300
    • 1.23.3-gke.600

    如果您手動為節點集區啟用 SMT，這個問題就不會影響沙箱節點。

    該怎麼辦？

    將節點升級至下列其中一個版本：

    • 1.22.6-gke.1500 以上版本
    • 1.23.3-gke.1100 以上版本

    這個修補程式修正了什麼安全漏洞？

    GKE Sandbox 節點預設會停用 SMT，以防範側通道攻擊。

    		 中

    GCP-2022-009

    發布日期：2022-03-01
    更新日期：2022-03-15

    GKE

    說明 嚴重性

    2022 年 3 月 15 日更新：新增 GKE on AWS 和 GKE on Azure 的強化指南。新增使用 Webhook 持續性的章節。

    在 GKE Autopilot 叢集上，部分非預期的節點 VM 存取路徑可能用於提升叢集權限。這些問題已修正，你無須採取任何行動。這些修正項目可解決透過安全漏洞獎勵計畫回報的問題。

    GKE Standard 和 GKE 叢集使用者可以選擇套用類似的強化政策，如下所述。

    技術詳細資料

    使用第三方政策豁免功能授予存取權

    為讓 Google Cloud 提供節點的完整管理功能和 Pod 層級的服務水準協議，GKE Autopilot 會限制部分高權限的 Kubernetes 原始物件，避免工作負載取得節點 VM 的低層級存取權。以這個情境為例：GKE Standard 提供基礎運算的完整存取權，Autopilot 提供有限存取權，而 Cloud Run 則不提供存取權。

    Autopilot 會針對預先定義的第三方工具清單放寬部分限制，讓客戶在 Autopilot 上執行這些工具時不必進行修改。研究人員利用權限建立具有主機路徑掛接點的 Pod，在類似於這些允許清單第三方工具的 Pod 中執行具備權限的容器，藉此取得主機存取權。

    在 GKE Standard 中，您應該可以透過這種方式排定 Pod，但在 GKE Autopilot 中則無法，因為這會略過用於啟用先前所述服務水準協議的主機存取限制。

    我們已修正這個問題，方法是嚴格控管第三方允許清單 Pod 規格。

    從節點上的根層級提升權限

    除了主機存取權外，stackdriver-metadata-agent-cluster-level 和 metrics-server Pod 也被視為高權限。取得節點的根層級存取權後，攻擊者就能利用這些服務進一步控管叢集。

    我們已淘汰並移除 GKE Standard 和 Autopilot 的 stackdriver-metadata-agent。這個元件仍用於 GKE on VMware 和 Google Distributed Cloud Virtual for Bare Metal。

    為防止日後發生這類攻擊，我們將在即將發布的版本中套用 Autopilot 限制，禁止更新 kube-system 命名空間中各種物件的服務帳戶。我們為您開發了 Gatekeeper 政策，可套用類似的保護措施至 GKE Standard 叢集和 GKE 叢集，防止具備權限的工作負載自行修改。這項政策會自動套用至 Autopilot 叢集。 如需操作說明，請參閱下列強化指南：

    2022 年 3 月 15 日新增： 使用變動 Webhook 持久儲存

    報告指出，攻擊者在入侵後會使用變動 Webhook，在叢集中建立具備權限的立足點。這些是叢集管理員建立的 Kubernetes API 標準部分，Autopilot 支援客戶定義的 Webhook 時，管理員就能看到這些 API。

    預設命名空間中的特殊權限服務帳戶

    Autopilot 政策執行者先前已在預設命名空間中將兩個服務帳戶加入允許清單：csi-attacher 和 otelsvc，以授予服務帳戶特殊權限。如果攻擊者擁有高權限 (包括建立 ClusterRoleBinding 物件的權限，以及在預設命名空間中建立 Pod 的權限)，就能使用這些服務帳戶名稱存取額外權限。這些服務已移至 kube-system 命名空間，以取得現有 Autopilot 政策的保護。GKE Standard 叢集和 GKE 叢集不受影響。

    該怎麼辦？

    所有 GKE Autopilot 叢集的政策都已更新，移除非預期的主機存取權，您不需採取任何動作。

    我們將在未來幾週內，對 Autopilot 進行進一步的政策強化，做為次要防護措施。您無須採取任何行動。

    GKE 標準叢集和 GKE 叢集不受影響，因為使用者已可存取主機。為強化系統，GKE 標準叢集和 GKE 叢集使用者可以套用類似的保護措施，也就是使用 Gatekeeper 政策，防止具備權限的工作負載自行修改。如需操作說明，請參閱下列強化指南：

    		低

    GCP-2022-008

    發布日期：2022 年 2 月 23 日
    更新日期：2022 年 4 月 28 日
    參考資料： CVE-2022-23606、 CVE-2022-21655、 CVE-2021-43826、 CVE-2021-43825、 CVE-2021-43824、 CVE-2022-21654、 CVE-2022-21657、 CVE-2022-21656

    GKE

    說明 嚴重性
    Envoy 專案最近發現一組安全漏洞，包括 CVE-2022-23606、 CVE-2022-21655、 CVE-2021-43826、 CVE-2021-43825、 CVE-2021-43824、 CVE-2022-21654、 CVE-2022-21657 和 CVE-2022-21656 ，使用 Anthos Service Mesh、 Istio-on-GKE 或自訂 Istio 部署項目的 GKE 叢集可能會受到影響。
    Envoy 1.21.1 版已修正下列所有問題。
    技術背景
    如要進一步瞭解這些安全漏洞，請參閱這篇文章。

    該怎麼辦？

    執行 Anthos 服務網格的 GKE 叢集應升級至支援版本，並修正上述安全漏洞
    • 如果您使用 Anthos 服務網格 1.12，請升級至 v1.12.4-asm.0。
    • 如果您使用 Anthos 服務網格 1.11，請升級至 v1.11.7-asm.1。
    • 如果您使用 Anthos 服務網格 1.10，請升級至 v1.10.6-asm.1。
    如果您使用 Anthos 服務網格 1.9 版或更舊版本， 該版本已停用，不再提供支援。這些 CVE 修正程式尚未反向移植。建議升級至 ASM 1.10 以上版本。

    執行 Istio on GKE 的 GKE 叢集應升級至支援的版本，並修正上述安全漏洞
    • 如果您使用的是 Istio on GKE 1.6，請升級至 v1.6.14-gke.8。
    • 如果您使用 Istio on GKE 1.4.11，請升級至 v1.4.11-gke.4。
    • 如果您使用 Istio on GKE 1.4.10，請升級至 v1.4.10-gke.23。
    • 如果您使用 GKE 1.22 以上版本，請使用 Istio GKE 1.4.10。否則請使用 Istio on GKE 1.4.11。

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-23606、 CVE-2022-21655、 CVE-2021-43826、 CVE-2021-43825、 CVE-2021-43824、 CVE-2022-21654、 CVE-2022-21657 和 CVE-2022-21656     		高

    VMware 中的 GKE

    更新時間： 2022 年 4 月 28 日

    說明 嚴重性
    Envoy 最近發布了多項安全漏洞修正。由於 Envoy 會與指標伺服器搭配使用，因此 GKE on VMware 會受到影響。我們正在修正的 Envoy CVE 如下。我們會在特定版本發布後更新這份公告：
    • CVE-2021-43824 (CVSS 分數 6.5，中等)： 使用 JWT 篩選器 safe_regex 時，可能出現空指標取消參照 比對。
      注意：雖然 ASM/Istio-on-GKE 不支援 Envoy 篩選器，但如果您使用 JWT 篩選器規則運算式，可能會受到影響。
    • CVE-2021-43825 (CVSS 分數 6.1，中等)： 當回應篩選器增加回應資料，且增加的資料超過下游緩衝區限制時，會發生釋放後使用 (use-after-free) 情況。
      注意：雖然 ASM/Istio-on-GKE 不支援 Envoy 篩選器，但如果您使用解壓縮篩選器，可能會受到影響。
    • CVE-2021-43826 (CVSS 分數 6.1，中等)：透過 HTTP 建立 TCP 通道時，如果下游在建立上游連線期間中斷連線，就會發生釋放後使用 (use-after-free) 的情況。
      注意：雖然 ASM/Istio-on-GKE 不支援 Envoy 篩選器，但如果您使用通道篩選器，可能會受到影響。
    • CVE-2022-21654 (CVSS 分數 7.3，高)：設定處理方式有誤，導致驗證設定變更後，系統仍允許重複使用 mTLS 工作階段，而不會重新驗證。
      注意：所有使用 mTLS 的 ASM/Istio-on-GKE 服務都會受到這個 CVE 影響。
    • CVE-2022-21655 (CVSS 分數 7.5，嚴重性為「高」)：內部重新導向至具有直接回應項目的路徑時，處理方式有誤。
      注意：雖然 ASM/Istio-on-GKE 不支援 Envoy 篩選器，但如果您使用直接回應篩選器，可能會受到影響。
    • CVE-2022-23606 (CVSS 分數 4.4，中等)：透過叢集探索服務刪除叢集時，會發生堆疊耗盡問題。
      注意：ASM 1.11 以上版本會受到這個 CVE 影響。ASM 1.10 和所有 Istio-on-GKE 都不會受到這個 CVE 影響。
    • CVE-2022-21657 (CVSS 分數 3.1，低)：Envoy 1.20.1 之前的版本含有可從遠端利用的安全漏洞，原因在於 X.509 擴充金鑰用途和信任用途遭到規避。
    • CVE-2022-21656 (CVSS 分數 3.1，低)：Envoy 1.20.1 以前的版本含有可從遠端發動攻擊的安全漏洞，原因是 X.509 subjectAltName 比對 (和 nameConstraints) 遭到略過。

    Istio 最近發布了一項安全漏洞修正。由於 Istio 用於 Ingress，因此 VMware 上的 Anthos 會受到影響。我們正在修正的 Istio CVE 列於下方。我們會在特定版本發布後立即更新此公告：

    CVE-2022-23635 (CVSS 分數 7.5，嚴重性為「高」)：Istiod 收到含有特別設計 `authorization` 標頭的要求時會當機。


    如要查看上述 CVE 的完整說明和影響，請參閱安全性公告。

    2022 年 4 月 28 日新增： 我該怎麼做？

    下列版本的 VMware 專用 GKE 已修正這些安全漏洞：

    • 1.9.5
    • 1.10.3
    • 1.11.0

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-23606、 CVE-2022-21655、 CVE-2021-43826、 CVE-2021-43825、 CVE-2021-43824、 CVE-2022-21654、 CVE-2022-21657 和 CVE-2022-21656     		高

    適用於 Bare Metal 的 Google Distributed Cloud Virtual

    說明 嚴重性
    Envoy 最近發布了多項安全漏洞修正。由於 Envoy 用於指標伺服器，因此裸機中的 Anthos 會受到影響。我們將在 1.10.3、1.9.6 和 1.8.9 版中修正下列 Envoy CVE：
    • CVE-2021-43824 (CVSS 分數 6.5，中等)： 使用 JWT 篩選器 safe_regex 時，可能出現空指標取消參照 比對。
      注意：雖然 ASM/Istio-on-GKE 不支援 Envoy 篩選器，但如果您使用 JWT 篩選器規則運算式，可能會受到影響。
    • CVE-2021-43825 (CVSS 分數 6.1，中等)： 當回應篩選器增加回應資料，且增加的資料超過下游緩衝區限制時，會發生釋放後使用 (use-after-free) 的情況。
      注意：雖然 ASM/Istio-on-GKE 不支援 Envoy 篩選器，但如果您使用解壓縮篩選器，可能會受到影響。
    • CVE-2021-43826 (CVSS 分數 6.1，中等)：透過 HTTP 建立 TCP 通道時，如果下游在建立上游連線期間中斷連線，就會發生釋放後使用 (use-after-free) 的情況。
      注意：雖然 ASM/Istio on GKE 不支援 Envoy 篩選器，但如果您使用通道篩選器，可能會受到影響。
    • CVE-2022-21654 (CVSS 分數 7.3，高)：設定處理方式有誤，導致驗證設定變更後，系統仍允許重複使用 mTLS 工作階段，而不重新驗證。
      注意：所有使用 mTLS 的 ASM/Istio-on-GKE 服務都會受到這個 CVE 影響。
    • CVE-2022-21655 (CVSS 分數 7.5，嚴重性為「高」)：內部重新導向至具有直接回應項目的路徑時，處理方式有誤。
      注意：雖然 ASM/Istio-on-GKE 不支援 Envoy 篩選器，但如果您使用直接回應篩選器，可能會受到影響。
    • CVE-2022-23606 (CVSS 分數 4.4，中等)：透過叢集探索服務刪除叢集時，堆疊會耗盡。
      注意：ASM 1.11 以上版本會受到這個 CVE 影響。ASM 1.10 和所有 Istio on GKE 版本都不會受到這個 CVE 影響。
    • CVE-2022-21657 (CVSS 分數 3.1，低)：Envoy 1.20.1 之前的版本含有可從遠端利用的安全漏洞，原因在於 X.509 擴充金鑰用途和信任目的遭到規避。
    • CVE-2022-21656 (CVSS 分數 3.1，低)：Envoy 1.20.1 以前的版本含有可從遠端發動攻擊的安全漏洞，原因在於 X.509 subjectAltName 比對 (和 nameConstraints) 遭到略過。
    Istio 最近發布了一項安全漏洞修正。Anthos on Bare metal 會受到影響，因為 Istio 用於 Ingress。我們將在 1.10.3、1.9.6 和 1.8.9 版中修正下列 Istio CVE：

    • CVE-2022-23635 (CVSS 分數 7.5，嚴重性為「高」)：Istiod 收到含有特別設計的 `authorization` 標頭要求時會當機。
      注意：所有 ASM/Istio-on-GKE 都會受到這個 CVE 的影響。

    如要查看上述 CVE 的完整說明和影響，請參閱安全性公告。

    這個修補程式修正了哪些安全漏洞？

    CVE-2022-23606、 CVE-2022-21655、 CVE-2021-43826、 CVE-2021-43825、 CVE-2021-43824、 CVE-2022-21654、 CVE-2022-21657 和 CVE-2022-21656     		高

    GCP-2022-006

    發布日期：2022 年 2 月 14 日
    更新日期：2022 年 5 月 16 日
    2022 年 5 月 16 日更新：將 GKE 1.19.16-gke.7800 以上版本新增至清單，這些版本包含修正這個安全漏洞的程式碼。
    2022 年 5 月 12 日更新： 更新 GKE、Google Distributed Cloud Virtual for Bare Metal、GKE on VMware 和 GKE on AWS 的修補程式版本。修正問題：2022 年 2 月 23 日新增的 AWS 版 GKE 安全性公告未顯示。

    GKE

    說明 嚴重性

    Linux 核心的 cgroup_release_agent_write 函式中發現安全漏洞 CVE-2022-0492。這項攻擊會使用未獲授權的使用者命名空間，在特定情況下，這項安全漏洞可能會遭到利用，導致容器中斷。

    該怎麼辦？

    2022 年 5 月 16 日更新： 除了 2022 年 5 月 12 日更新中提及的 GKE 版本，GKE 1.19.16-gke.7800 以上版本也包含修正這個安全漏洞的程式碼。

    2022 年 5 月 12 日更新： 下列 GKE 版本包含修正此安全漏洞的程式碼：

    • 1.20.15-gke.5600 以上版本
    • 1.21.11-gke.1500 以上版本
    • 1.22.8-gke.1800 以上版本
    • 1.23.5-gke.1800 以上版本
    2022 年 2 月 15 日更新：修正 gVisor 陳述內容。

    這項安全漏洞位於 Linux 核心的 cgroup_release_agent_write kernel/cgroup/cgroup-v1.c 函式中，可用於容器突破。由於 Ubuntu 和 COS 上的預設 AppArmor 設定檔提供保護，因此 GKE 不會受到影響。不過，如果客戶透過修改 Pod 或容器 securityContext 欄位 (例如停用/變更 AppArmor 設定檔) 放寬 Pod 的安全性限制，可能仍會受到影響，因此不建議這麼做。除了預設的 AppArmor 設定檔，這些功能也能防範以下安全漏洞：

    • GKE Autopilot 不受影響，因為預設 seccomp 設定檔不會受到影響。
    • 2022 年 2 月 15 日更新：gVisor (GKE Sandbox) 不受影響，因為 gVisor 不允許存取主機上易受攻擊的系統呼叫。

    我們將在日後推出的版本中提供修補程式。我們會在這些連結發布後更新這則公告。

    這個修補程式修正了什麼安全漏洞？

    CVE-2022-0492

    		 低

    GKE 叢集

    說明 嚴重性

    Linux 核心的 cgroup_release_agent_write 函式中發現安全漏洞 CVE-2022-0492。這項攻擊會使用未獲授權的使用者命名空間，在特定情況下，這項安全漏洞可能會遭到利用，導致容器中斷。

    該怎麼辦？

    2022 年 5 月 12 日更新： 下列版本的 GKE on VMware 包含修正此安全漏洞的程式碼。

    COS
    • 1.8.8 以上版本
    • 1.9.5 以上版本
    • 1.10.2 以上版本
    • 1.11.0 以上版本
    Ubuntu
    • 1.9.6 以上版本
    • 1.10.3 以上版本
    • 1.11.0 以上版本

    Linux 核心的 cgroup_release_agent_write 函式 (位於 kernel/cgroup/cgroup-v1.c) 存在安全漏洞，可用於容器突破。由於 Ubuntu 和 COS 預設的 AppArmor 設定檔提供保護，因此 GKE on VMware 不會受到影響。不過，如果部分客戶透過修改 Pod 或容器 securityContext 欄位 (例如停用/變更 AppArmor 設定檔) 放寬 Pod 的安全限制，可能仍會受到影響，因此不建議這麼做。

    我們將在日後推出的版本中提供修補程式。我們會在這些連結建立完成後，更新這則公告。

    這個修補程式修正了什麼安全漏洞？

    CVE-2022-0492

    		 低

    GKE on AWS

    說明 嚴重性

    Linux 核心的 cgroup_release_agent_write 函式中發現安全漏洞 CVE-2022-0492。這項攻擊會使用未獲授權的使用者命名空間，在特定情況下，這項安全漏洞可能會遭到利用，導致容器中斷。

    該怎麼辦？

    2022 年 5 月 12 日更新： 下列現有和上一代 GKE on AWS 版本包含可修正這個安全漏洞的程式碼：

    目前世代
    • 1.21.11-gke.1100
    • 1.22.8-gke.1300
    上一代
    • 1.22.8-gke.1300
    • 1.21.11-gke.1100
    • 1.20.15-gke.5200

    2022 年 2 月 23 日更新：新增 GKE on AWS 的注意事項。

    由於 Ubuntu 上的預設 AppArmor 設定檔提供保護，因此 AWS 上的 GKE 先前和目前世代都不受影響。不過，如果客戶透過修改 Pod 或容器 securityContext 欄位 (例如停用/變更 AppArmor 設定檔) 放寬 Pod 的安全性限制，仍可能遭受攻擊，因此不建議這麼做。

    我們將在日後推出的版本中提供修補程式。我們會在這些連結建立完成後，修訂這份公告。

    這個修補程式修正了什麼安全漏洞？

    CVE-2022-0492

    		 低

    GKE Enterprise 適用於

    說明 嚴重性

    Linux 核心的 cgroup_release_agent_write 函式中發現安全漏洞 CVE-2022-0492。這項攻擊會使用未獲授權的使用者命名空間，在特定情況下，這項安全漏洞可能會遭到利用，導致容器中斷。

    該怎麼辦？

    2022 年 5 月 12 日更新： 下列 Azure 上的 GKE 版本包含可修正這個安全漏洞的程式碼：

    • 1.21.11-gke.1100
    • 1.22.8-gke.1300

    由於 Ubuntu 上的預設 AppArmor 設定檔提供保護，因此 Azure 上的 GKE 不受影響。不過，如果客戶透過修改 Pod 或容器 securityContext 欄位 (例如停用/變更 AppArmor 設定檔) 放寬 Pod 的安全性限制，可能仍會受到影響，因此不建議這麼做。

    我們將在日後推出的版本中提供修補程式。我們會在這些連結建立完成後，更新這則公告。

    這個修補程式修正了什麼安全漏洞？

    CVE-2022-0492

    		 低

    GCP-2022-005

    發布日期：2022-02-11
    更新日期：2022-02-15
    參考資料：CVE-2021-43527

    GKE

    說明 嚴重性
    2022 年 2 月 15 日更新：原始公告中提及的部分 GKE 版本已與其他修正項目合併，且版本號碼已在發布前遞增。以下 GKE 版本提供修補程式：
    • 1.20.15-gke.300
    • 1.21.9-gke.300
    • 1.22.6-gke.1000

    凡是連結至 NSS (網路安全服務) 3.73 或 3.68.1 之前的版本，都可能含有 libnss3 的安全漏洞 (CVE-2021-43527)。如果應用程式使用 NSS 進行憑證驗證，或使用其他 TLS、X.509、OCSP 或 CRL 功能，可能會受到影響，具體情況取決於 NSS 的使用/設定方式。GKE COS 和 Ubuntu 映像檔都安裝了有安全漏洞的版本，因此需要修補。

    對於使用 NSS 處理 CMS、S/MIME、PKCS#7 或 PKCS#12 中編碼簽章的應用程式，CVE-2021-43527 可能會造成廣泛影響。使用 NSS 進行憑證驗證或使用其他 TLS、X.509、OCSP 或 CRL 功能的應用程式也可能受到影響。影響取決於 NSS 的使用/設定方式。

    GKE 不會將 libnss3 用於任何可透過網際網路存取的 API。影響範圍僅限於在容器外執行的主機端程式碼，由於 ChromeOS 的設計極簡，因此影響不大。使用 golang distroless 基本映像檔的容器內執行的 GKE 程式碼不受影響。

    該怎麼辦？

    下列 GKE 版本的 Linux 節點映像檔已更新，並包含修正這些安全漏洞的程式碼。將控制層和節點升級至下列其中一個 GKE 版本：

    • 1.18 版 (待定)
    • 1.19.16-gke.6100
    • 1.20.15-gke.200
    • 1.21.9-gke.200
    • 1.22.6-gke.600
    • 1.23.3-gke.500
    您是否使用舊版 GKE (1.18 以前)？您使用的 GKE 版本 超出服務等級協議 (SLA) 範圍，建議升級至支援版本。

    這個修補程式修正了什麼安全漏洞？

    CVE-2021-43527

    		 中

    GKE 叢集

    說明 嚴重性

    凡是連結至 NSS (網路安全服務) 3.73 或 3.68.1 之前的版本，都可能含有 libnss3 的安全漏洞 (CVE-2021-43527)。如果應用程式使用 NSS 進行憑證驗證，或使用其他 TLS、X.509、OCSP 或 CRL 功能，可能會受到影響，具體情況取決於 NSS 的設定方式。GKE on VMware COS 和 Ubuntu 映像檔都安裝了有安全漏洞的版本，因此需要修補。

    CVE-2021-43527 可能會對使用 NSS 處理 CMS、S/MIME、PKCS #7 或 PKCS #12 中編碼簽章的應用程式造成廣泛影響。使用 NSS 進行憑證驗證或使用其他 TLS、X.509、OCSP 或 CRL 功能的應用程式也可能受到影響。影響取決於他們如何設定/使用 NSS。Anthos on VMware 不會對任何可公開存取的 API 使用 libnss3，因此影響有限，且這個 CVE 對 GKE on VMware 的嚴重程度評估為中等。

    該怎麼辦？

    的作業。

    下列 Anthos 版本的 Linux 節點映像檔已更新，並包含修正這些安全漏洞的程式碼。將控制層和節點升級至下列任一 Anthos 版本：

    • 1.8.7
    • 1.9.4
    • 1.10.2

    您是否使用舊版 GKE on VMware (1.18 以前)？您使用的 Anthos 版本不在服務水準協議 (SLA) 範圍內，建議升級至支援的版本。

    這個修補程式修正了什麼安全漏洞？

    CVE-2021-43527

    		 中

    GKE Enterprise 適用於

    說明 嚴重性

    凡是連結至 NSS (網路安全服務) 3.73 或 3.68.1 之前的版本，都可能含有 libnss3 的安全漏洞 (CVE-2021-43527)。如果應用程式使用 NSS 進行憑證驗證，或使用其他 TLS、X.509、OCSP 或 CRL 功能，可能會受到影響，具體情況取決於 NSS 的使用/設定方式。Azure Ubuntu 映像檔上的 Anthos 叢集安裝了有安全漏洞的版本，因此需要修補。

    對於使用 NSS 處理 CMS、S/MIME、PKCS#7 或 PKCS#12 中編碼簽章的應用程式，CVE-2021-43527 可能會造成廣泛影響。使用 NSS 進行憑證驗證或使用其他 TLS、X.509、OCSP 或 CRL 功能的應用程式也可能受到影響。影響取決於他們如何設定/使用 NSS。Azure 上的 Anthos 叢集不會將 libnss3 用於任何可公開存取的 API，因此影響有限，且 Azure 上的 Anthos 叢集此 CVE 的嚴重程度評估為中等。

    該怎麼辦？

    的作業。

    下列 GKE on Azure 版本的 Linux 節點映像檔已更新，並包含修正這些安全漏洞的程式碼。將叢集升級至下列其中一個 Anthos on Azure 版本：

    • v1.21.6-gke.1500

    這個修補程式修正了什麼安全漏洞？

    CVE-2021-43527

    		 中

    GCP-2022-004

    發布日期：2022 年 2 月 4 日
    參考資料：CVE-2021-4034

    GKE

    說明 嚴重性

    我們在 Linux 政策套件 (polkit) 的 pkexec 中發現安全性漏洞 CVE-2021-4034，驗證過的使用者可藉此發動權限提升攻擊。一般來說，PolicyKit 只會用於 Linux 電腦系統，允許非根使用者執行系統重新啟動、安裝套件、重新啟動服務等動作，但須遵守政策規定。

    該怎麼辦？

    GKE 使用的 COS 或 Ubuntu 映像檔未安裝有安全漏洞的模組 policykit-1，因此不會受到影響。您無須採取任何行動。

    		 無

    GKE 叢集

    說明 嚴重性

    我們在 Linux 政策套件 (polkit) 的 pkexec 中發現安全性漏洞 CVE-2021-4034，驗證過的使用者可藉此發動權限提升攻擊。一般來說，PolicyKit 只會用於 Linux 電腦系統，允許非根使用者執行系統重新啟動、安裝套件、重新啟動服務等動作，但須遵守政策規定。

    GKE Enterprise 預設設定已授予使用者完整的「sudo」權限，因此這項安全漏洞不會改變 GKE Enterprise 現有的安全狀態

    技術詳細資料

    如要利用這個錯誤，攻擊者必須在節點檔案系統上取得非根層級的 Shell，並安裝易受攻擊的 pkexec 版本。雖然 VMware 上的 GKE 在發布映像檔中包含 policykit-1 版本，但 GKE Enterprise 的預設設定允許任何具有 Shell 存取權的使用者執行免密碼 sudo，因此這項安全漏洞不會授予使用者任何額外權限。

    該怎麼辦？

    您無須採取任何行動，GKE on VMware 不受影響。

    		 無

    GKE 叢集

    說明 嚴重性
    GKE on AWS 不受影響。目前和先前版本的 GKE on AWS 所用 Ubuntu 映像檔，並未安裝有安全漏洞的模組 policykit-1。 無

    GKE Enterprise 適用於

    說明 嚴重性

    我們在 Linux 政策套件 (polkit) 的 pkexec 中發現安全性漏洞 CVE-2021-4034，驗證過的使用者可藉此發動權限提升攻擊。一般來說，PolicyKit 只會用於 Linux 電腦系統，允許非根使用者執行系統重新啟動、安裝套件、重新啟動服務等動作，但須遵守政策規定。

    GKE Enterprise 預設設定已授予使用者完整的「sudo」權限，因此這項安全漏洞不會改變 GKE Enterprise 現有的安全狀態

    技術詳細資料

    如要利用這個錯誤，攻擊者必須在節點檔案系統上取得非根層級的 Shell，並安裝易受攻擊的 pkexec 版本。雖然 Azure 上的 GKE 在發布映像檔中包含 policykit-1 版本，但 GKE Enterprise 的預設設定允許任何具有 Shell 存取權的使用者無密碼執行 sudo，因此這項安全漏洞不會賦予使用者任何額外權限。

    該怎麼辦？

    您無須採取任何行動，Azure 中的 GKE 不受影響。

    		 無

    GKE 叢集

    說明 嚴重性
    視客戶管理的作業系統上安裝的套件而定，Google Distributed Cloud Virtual for Bare Metal 可能會受到影響。掃描作業系統映像檔，並視需要修補。 無

    GCP-2022-002

    發布日期：2022 年 2 月 1 日
    更新日期：2022 年 3 月 7 日
    參考資料：    CVE-2021-4154、CVE-2021-22600、CVE-2022-0185
    2022 年 2 月 4 日更新：新增了 GKE on AWS 和 GKE on Azure 的章節。新增 GKE 和 GKE on VMware 的推出更新。

    GKE

    更新時間： 2022 年 3 月 7 日

    說明 嚴重性

    Linux 核心中發現了三個安全漏洞：CVE-2021-4154、CVE-2021-22600 和 CVE-2022-0185。這些漏洞可能會導致容器突破限制、主機權限提升，或兩者皆是。這些安全漏洞會影響 GKE、GKE on VMware、GKE on AWS (目前和前幾代) 和 GKE on Azure 上的所有節點作業系統 (COS 和 Ubuntu)。

    使用 GKE Sandbox 的 Pod 不會受到這些安全漏洞影響。

    詳情請參閱 COS 版本資訊。

    技術詳細資料

    在 CVE-2021-4154 中，攻擊者可以利用 fsconfig 系統呼叫參數觸發 Linux 核心中的釋放後使用錯誤，進而取得 Root 權限。這是本機權限提升攻擊，會導致容器突破。

    CVE-2021-22600 是 packet_set_ring 中的雙重釋放漏洞，可能導致容器逸出至主機節點。

    由於 CVE-2022-0185，legacy_parse_param() 中的堆積溢位錯誤可能會導致超出範圍的寫入，進而造成容器中斷。

    這項安全漏洞的利用路徑依賴「unshare」系統呼叫，預設會使用 seccomp 篩選器在 GKE Autopilot 叢集上遭到封鎖。

    如果使用者在 GKE 標準叢集上手動啟用預設容器執行階段 seccomp 設定檔，也會受到保護。

    該怎麼辦？

    2022 年 3 月 7 日更新：下列 GKE 版本的 Linux 節點映像檔已更新程式碼，可修正 Ubuntu 和 COS 映像檔的所有這些安全漏洞。將控制層和節點升級至下列其中一個 GKE 版本。

    • 1.18.20-gke.6101
    • 1.19.16-gke.8300
    • 1.20.15-gke.2500
    • 1.21.10-gke.400
    • 1.22.7-gke.900
    • 1.23.3-gke.1100

    2022 年 2 月 25 日更新：如果您使用 Ubuntu 節點映像檔，1.22.6-gke.1000 版並未解決 CVE-2021-22600。我們會在 Ubuntu 修補程式版本發布後立即更新此公告。

    2022 年 2 月 23 日更新：下列 GKE 版本的 Linux 節點映像檔版本已更新，並包含修正這些安全漏洞的程式碼。將叢集升級至下列任一 GKE 版本。

    • 1.18.20-gke.6101
    • 1.22.6-gke.1000
    • 1.23.3-gke.1100

    2022 年 2 月 4 日更新：GKE 修補程式版本已於 2 月 2 日開始推出。

    全面生效。

    下列 GKE 版本的 Linux 節點映像檔已更新，將叢集升級至下列任一 GKE 版本。

    • 1.19.16-gke.6100
    • 1.20.15-gke.300
    • 1.21.9-gke.300

    1.22 和 1.23 版的支援作業也正在進行中。我們會在特定版本發布後立即更新此公告。

    這個修補程式修正了什麼安全漏洞？

    		 高

    GKE 叢集

    更新時間： 2022 年 2 月 23 日

    說明 嚴重性

    Linux 核心中發現了三個安全漏洞：CVE-2021-4154、CVE-2021-22600 和 CVE-2022-0185。這些漏洞可能會導致容器突破限制、主機權限提升，或兩者皆是。這些安全漏洞會影響 GKE、GKE on VMware、GKE on AWS (目前和前幾代) 和 GKE on Azure 上的所有節點作業系統 (COS 和 Ubuntu)。

    詳情請參閱 COS 版本資訊。

    技術詳細資料

    在 CVE-2021-4154 中，攻擊者可以利用 fsconfig 系統呼叫參數觸發 Linux 核心中的釋放後使用錯誤，進而取得 Root 權限。這是本機權限提升攻擊，會導致容器突破。

    CVE-2021-22600 是 packet_set_ring 中的雙重釋放漏洞，可能導致容器逸出至主機節點。

    由於 CVE-2022-0185，legacy_parse_param() 中的堆積溢位錯誤可能會導致超出範圍的寫入，進而造成容器中斷。

    如果使用者在 GKE 標準叢集上手動啟用預設容器執行階段 seccomp 設定檔，也會受到保護。

    該怎麼辦？

    2022 年 2 月 23 日更新：版本 1.10.2 (修正 CVE-2021-22600、CVE-2021-4154 和 CVE-2022-0185) 預計於 3 月 1 日推出。

    2022 年 2 月 23 日更新：新增可解決 CVE-2021-2260 的修補版本。

    1.10.1 版未解決 CVE-2021-22600，但已解決其他安全漏洞。未發布的 1.9.4 和 1.10.2 版都會解決 CVE-2021-22600 問題。下列 GKE on VMware 版本的 Linux 節點映像檔已更新程式碼，可修正這些安全漏洞。將叢集升級至下列其中一個 GKE on VMware 版本：

    • 1.10.1 (修正 CVE-2021-4154 和 CVE-2022-0185。2 月 10 日發布)
    • 1.8.7 (修正 CVE-2021-22600、CVE-2021-4154 和 CVE-2022-0185。2 月 17 日發布)
    • 1.9.4 (修正 CVE-2021-22600、CVE-2021-4154 和 CVE-2022-0185。(2 月 23 日發布)
    • 1.10.2 (修正 CVE-2021-22600、CVE-2021-4154 和 CVE-2022-0185。預計於 2 月 24 日發布)

    2022 年 2 月 4 日更新： 新增 Ubuntu 映像檔未處理 CVE-2021-22600 的相關資訊。

    下列 GKE on VMware 版本的 Linux 節點映像檔已更新程式碼，可修正這些安全漏洞。將叢集升級至下列其中一個 GKE on VMware 版本：

    • 1.10.1 (僅更新 COS。Ubuntu 修補程式將於 2 月 23 日發布的 1.10.2 版本中提供
    • 1.9.4 (預計於 2 月 15 日發布)
    • 1.8.7 (預計於 2 月 15 日推出)

    這個修補程式修正了什麼安全漏洞？

    		 高

    GKE 叢集

    說明 嚴重性

    Linux 核心中發現了三個安全漏洞：CVE-2021-4154、CVE-2021-22600 和 CVE-2022-0185。這些漏洞可能會導致容器突破限制、主機權限提升，或兩者皆是。這些安全漏洞會影響 GKE、GKE on VMware、GKE on AWS (目前和前幾代) 和 GKE on Azure 上的所有節點作業系統 (COS 和 Ubuntu)。

    詳情請參閱 COS 版本資訊。

    技術詳細資料

    在 CVE-2021-4154 中，攻擊者可以利用 fsconfig 系統呼叫參數觸發 Linux 核心中的釋放後使用錯誤，進而取得 Root 權限。這是本機權限提升攻擊，會導致容器突破。

    CVE-2021-22600 是 packet_set_ring 中的雙重釋放漏洞，可能導致容器逸出至主機節點。

    由於 CVE-2022-0185，legacy_parse_param() 中的堆積溢位錯誤可能會導致超出範圍的寫入，進而造成容器中斷。

    如果使用者在 GKE 標準叢集上手動啟用預設容器執行階段 seccomp 設定檔，也會受到保護。

    該怎麼辦？

    GKE on AWS

    下列 GKE on AWS 版本的 Linux 節點映像檔已更新程式碼，可修正這些安全漏洞。將叢集升級至下列 GKE on AWS 版本：

    • 1.21.6-gke.1500 以上版本 (2 月推出)

    GKE on AWS (舊版)

    下列 GKE on AWS (舊版) 版本的 Linux 節點映像檔已更新程式碼，修正這些安全漏洞。將叢集升級至下列任一 GKE on AWS (舊版) 版本：

    • 1.19.16-gke.5300
    • 1.20.14-gke.2000
    • 1.21.8-gke.2000

    這個修補程式修正了什麼安全漏洞？

    		 高

    GKE Enterprise 適用於

    說明 嚴重性

    Linux 核心中發現了三個安全漏洞：CVE-2021-4154、CVE-2021-22600 和 CVE-2022-0185。這些漏洞可能會導致容器突破限制、主機權限提升，或兩者皆是。這些安全漏洞會影響 GKE、GKE on VMware、GKE on AWS (目前和前幾代) 和 GKE on Azure 上的所有節點作業系統 (COS 和 Ubuntu)。

    詳情請參閱 COS 版本資訊。

    技術詳細資料

    在 CVE-2021-4154 中，攻擊者可以利用 fsconfig 系統呼叫參數觸發 Linux 核心中的釋放後使用錯誤，進而取得 Root 權限。這是本機權限提升攻擊，會導致容器突破。

    CVE-2021-22600 是 packet_set_ring 中的雙重釋放漏洞，可能導致容器逸出至主機節點。

    由於 CVE-2022-0185，legacy_parse_param() 中的堆積溢位錯誤可能會導致超出範圍的寫入，進而造成容器中斷。

    如果使用者在 GKE 標準叢集上手動啟用預設容器執行階段 seccomp 設定檔，也會受到保護。

    該怎麼辦？

    下列 Azure 上的 GKE 版本已更新 Linux 節點映像檔，並修正這些安全漏洞。將叢集升級至下列 GKE on Azure 版本：

    • 1.21.6-gke.1500 以上版本 (2 月推出)

    這個修補程式修正了什麼安全漏洞？

    		 高

    GCP-2021-024

    發布日期：2021 年 10 月 21 日
    參考資料：CVE-2021-25742

    GKE

    說明 嚴重性

    Kubernetes ingress-nginx 控制器中發現安全性問題 (CVE-2021-25742)。透過 Ingress-nginx 自訂程式碼片段，您可以擷取所有命名空間的 ingress-nginx 服務帳戶權杖和密鑰。

    該怎麼辦？

    這項安全性問題不會影響 GKE 叢集基礎架構，也不會影響任何 GKE Enterprise 環境叢集基礎架構。如果您在工作負載部署中使用 ingress-nginx，請留意這個安全性問題。詳情請參閱 ingress-nginx 問題 7837。

    		 無

    GKE 叢集

    說明 嚴重性

    Kubernetes ingress-nginx 控制器中發現安全性問題 (CVE-2021-25742)。透過 Ingress-nginx 自訂程式碼片段，您可以擷取所有命名空間的 ingress-nginx 服務帳戶權杖和密鑰。

    該怎麼辦？

    這項安全性問題不會影響 GKE 叢集基礎架構，也不會影響任何 GKE Enterprise 環境叢集基礎架構。如果您在工作負載部署中使用 ingress-nginx，請留意這個安全性問題。詳情請參閱 ingress-nginx 問題 7837。

    		 無

    GKE 叢集

    說明 嚴重性

    Kubernetes ingress-nginx 控制器中發現安全性問題 (CVE-2021-25742)。透過 Ingress-nginx 自訂程式碼片段，您可以擷取所有命名空間的 ingress-nginx 服務帳戶權杖和密鑰。

    該怎麼辦？

    這項安全性問題不會影響 GKE 叢集基礎架構，也不會影響任何 GKE Enterprise 環境叢集基礎架構。如果您在工作負載部署中使用 ingress-nginx，請留意這個安全性問題。詳情請參閱 ingress-nginx 問題 7837。

    		 無

    GKE 叢集

    說明 嚴重性

    Kubernetes ingress-nginx 控制器中發現安全性問題 (CVE-2021-25742)。透過 Ingress-nginx 自訂程式碼片段，您可以擷取所有命名空間的 ingress-nginx 服務帳戶權杖和密鑰。

    該怎麼辦？

    這項安全性問題不會影響 GKE 叢集基礎架構，也不會影響任何 GKE Enterprise 環境叢集基礎架構。如果您在工作負載部署中使用 ingress-nginx，請留意這個安全性問題。詳情請參閱 ingress-nginx 問題 7837。

    		 無

    GCP-2021-019

    發布日期： 2021-09-29

    GKE

    說明 嚴重性

    我們發現一個已知問題，使用者透過 v1beta1 API 更新 BackendConfig 資源時，會從服務中移除有效的 Google Cloud Armor 安全性政策。

    我會受到影響嗎？

    如果 BackendConfig已透過 v1beta1 API 更新，Google Cloud Armor 安全性政策可能已遭移除。如要判斷是否發生這種情況，請執行下列指令：

    kubectl get backendconfigs -A -o json | \
jq -r '.items[] | select(.spec.securityPolicy == {}) | .metadata | "\(.namespace)/\(.name)"'
    • 如果回應傳回輸出內容：您的叢集受到這個問題影響。 這項指令的輸出內容會傳回受問題影響的 BackendConfig 資源清單 (<namespace>/<name>)。
    • 如果輸出內容為空白：自從問題發生後，您的 BackendConfig 就未曾使用 v1beta1 API 更新。日後對 BackendConfig 的任何更新都只能使用 v1。

    這個問題會影響下列 GKE 版本：

    • 1.18.19-gke.1400 至 1.18.20-gke.5100 (不含)
    • 1.19.10-gke.700 至 1.19.14-gke.300 (不含)
    • 1.20.6-gke.700 至 1.20.9-gke.900 (不含)
    • 1.21 至 1.21.1-gke.2700 (不含)

    如果您未透過 BackendConfig 在 Ingress 資源上設定 Google Cloud Armor，這個問題就不會影響叢集。

    該怎麼辦？

    將 GKE 控制層升級至下列其中一個更新版本，即可修正這個問題，並安全使用 v1beta1 BackendConfig 資源：

    • 1.21.1-gke.2700 以上版本
    • 1.20.9-gke.900 以上版本
    • 1.19.14-gke.300 以上版本
    • 1.18.20-gke.5100 以上版本

    此外，避免部署 v1beta1 BackendConfig 資源也能防止這個問題。如果您透過 BackendConfig 在 Ingress 資源上設定 Google Cloud Armor，並發現自己受到上述步驟的影響，請使用 cloud.google.com/v1 API 版本，將更新推送至目前的 BackendConfig 資源，重新啟用 Google Cloud Armor。

    為避免這個問題，請只使用 v1 BackendConfig API 更新 BackendConfig。

    由於 v1 BackendConfig 支援與 v1beta1 相同的所有欄位，且不會造成破壞性變更，因此 API 欄位可以透明地更新。如要這麼做，請將任何有效 BackendConfig 資訊清單的 apiVersion 欄位取代為 cloud.google.com/v1，並不要使用 cloud.google.com/v1beta1。

    下列範例資訊清單說明使用 v1API 的 BackendConfig 資源：

    apiVersion: cloud.google.com/v1
kind: BackendConfig
metadata:
  name: my-backend-config
spec:
  securityPolicy:
    name: "ca-how-to-security-policy"

    如果您有定期更新 BackendConfig 資源的 CI/CD 系統或工具，請確保在這些系統中使用 cloud.google.com/v1 API 群組。

    		 低

    GCP-2021-022

    發布日期： 2021-09-23

    GKE 叢集

    說明 嚴重性

    我們發現 GKE Enterprise Identity Service (AIS) LDAP 模組存在安全漏洞，在 GKE on VMware 1.8 和 1.8.1 版中，用於產生金鑰的種子金鑰可預測。有了這項漏洞，通過驗證的使用者就能新增任意聲明，並無限期提升權限。

    技術詳細資料

    AIS 程式碼最近新增的功能是使用 golang 的 math/rand 模組建立對稱金鑰，這不適合用於安全防護相關的程式碼。模組的使用方式會產生可預測的金鑰。 身分驗證期間會產生安全權杖服務 (STS) 金鑰，並以容易衍生的對稱式金鑰加密。

    該怎麼辦？

    只有在 GKE on VMware 1.8 和 1.8.1 版中使用 AIS 的客戶會受到影響。如果您使用 GKE on VMware 1.8，請將叢集升級至下列版本：

    • 1.8.2
    		 高

    GCP-2021-021

    發布日期：2021 年 9 月 22 日
    參考資料：CVE-2020-8561

    GKE

    說明 嚴重性

    Kubernetes 中發現安全漏洞 CVE-2020-8561，某些 Webhook 可能會將 kube-apiserver 要求重新導向至該 API 伺服器的私人網路。

    技術詳細資料

    如果攻擊者能控制 MutatingWebhookConfiguration 或 ValidatingWebhookConfiguration 要求的相關回應，就能利用這項安全漏洞將 kube-apiserver 要求重新導向至 API 伺服器的私人網路。如果使用者在記錄層級設為 10 時可以查看 kube-apiserver 記錄，就能在記錄中查看重新導向的回應和標頭。

    變更 API 伺服器的特定參數，即可減輕這個問題的影響。

    該怎麼辦？

    但目前您無須採取任何行動。

    目前可用的 GKE 和 GKE Enterprise 版本已實作下列防護措施，可防範這類攻擊：

    • kube-apiserver 的 --profiling 標記設為 false。
    • kube-apiserver 記錄層級設為低於 10。

    這個修補程式修正了什麼安全漏洞？

    <pCVE-2020-8561

    </p    		 中

    GKE 叢集

    說明 嚴重性

    Kubernetes 中發現安全漏洞 CVE-2020-8561，某些 Webhook 可能會將 kube-apiserver 要求重新導向至該 API 伺服器的私人網路。

    技術詳細資料

    如果攻擊者能控制 MutatingWebhookConfiguration 或 ValidatingWebhookConfiguration 要求的相關回應，就能利用這項安全漏洞將 kube-apiserver 要求重新導向至 API 伺服器的私人網路。如果使用者在記錄層級設為 10 時可以查看 kube-apiserver 記錄，就能在記錄中查看重新導向的回應和標頭。

    變更 API 伺服器的特定參數，即可減輕這個問題的影響。

    該怎麼辦？

    但目前您無須採取任何行動。

    目前可用的 GKE 和 GKE Enterprise 版本已實作下列防護措施，可防範這類攻擊：

    • kube-apiserver 的 --profiling 標記設為 false。
    • kube-apiserver 記錄層級設為低於 10。

    這個修補程式修正了什麼安全漏洞？

    <pCVE-2020-8561

    </p    		 中

    GKE 叢集

    說明 嚴重性

    Kubernetes 中發現安全漏洞 CVE-2020-8561，某些 Webhook 可能會將 kube-apiserver 要求重新導向至該 API 伺服器的私人網路。

    技術詳細資料

    如果攻擊者能控制 MutatingWebhookConfiguration 或 ValidatingWebhookConfiguration 要求的相關回應，就能利用這項安全漏洞將 kube-apiserver 要求重新導向至 API 伺服器的私人網路。如果使用者在記錄層級設為 10 時可以查看 kube-apiserver 記錄，就能在記錄中查看重新導向的回應和標頭。

    變更 API 伺服器的特定參數，即可減輕這個問題的影響。

    該怎麼辦？

    但目前您無須採取任何行動。

    目前可用的 GKE 和 GKE Enterprise 版本已實作下列防護措施，可防範這類攻擊：

    • kube-apiserver 的 --profiling 標記設為 false。
    • kube-apiserver 記錄層級設為低於 10。

    這個修補程式修正了什麼安全漏洞？

    <pCVE-2020-8561

    </p    		 中

    GKE 叢集

    說明 嚴重性

    Kubernetes 中發現安全漏洞 CVE-2020-8561，某些 Webhook 可能會將 kube-apiserver 要求重新導向至該 API 伺服器的私人網路。

    技術詳細資料

    如果攻擊者能控制 MutatingWebhookConfiguration 或 ValidatingWebhookConfiguration 要求的相關回應，就能利用這項安全漏洞將 kube-apiserver 要求重新導向至 API 伺服器的私人網路。如果使用者在記錄層級設為 10 時可以查看 kube-apiserver 記錄，就能在記錄中查看重新導向的回應和標頭。

    變更 API 伺服器的特定參數，即可減輕這個問題的影響。

    該怎麼辦？

    但目前您無須採取任何行動。

    目前可用的 GKE 和 GKE Enterprise 版本已實作下列防護措施，可防範這類攻擊：

    • kube-apiserver 的 --profiling 標記設為 false。
    • kube-apiserver 記錄層級設為低於 10。

    這個修補程式修正了什麼安全漏洞？

    <pCVE-2020-8561

    </p    		 中

    GCP-2021-018

    發布日期：2021-09-15
    更新日期：2021-09-24
    參考資料：CVE-2021-25741

    2021 年 9 月 24 日更新：GKE on Bare Metal 公告已更新，新增了其他修補版本。

    2021 年 9 月 20 日更新：新增 GKE on Bare Metal 公告

    2021 年 9 月 16 日更新：新增 GKE on VMware 的公告

    GKE

    說明 嚴重性

    我們在 Kubernetes 中發現安全問題 (CVE-2021-25741)，使用者可能會建立含有子路徑磁碟區掛接項目的容器，藉此存取磁碟區以外的檔案和目錄，包括主機檔案系統中的檔案和目錄。

    技術詳細資料：

    在 CVE-2021-25741 中，攻擊者可以從已掛接的 emptyDir 建立符號連結至節點的根檔案系統 ( / )，kubelet 會追蹤符號連結，並將主機根目錄掛接到容器中。

    該怎麼辦？

    建議您將節點集區升級至下列版本或更新版本，以使用最新修補程式：

    • 1.21.4-gke.301
    • 1.20.10-gke.301
    • 1.19.14-gke.301
    • 1.18.20-gke.4501

    下列版本也包含修正措施：

    • 1.21.3-gke.2001
    • 1.20.8-gke.2101
    • 1.20.9-gke.701
    • 1.20.9-gke.1001
    • 1.19.12-gke.2101
    • 1.19.13-gke.701
    • 1.18.20-gke.3001
    		 高

    GKE 叢集

    說明 嚴重性

    我們在 Kubernetes 中發現安全問題 (CVE-2021-25741)，使用者可能會建立含有子路徑磁碟區掛接項目的容器，藉此存取磁碟區以外的檔案和目錄，包括主機檔案系統中的檔案和目錄。

    技術詳細資料：

    在 CVE-2021-25741 中，攻擊者可以從已掛接的 emptyDir 建立符號連結至節點的根檔案系統 ( / )，kubelet 會追蹤符號連結，並將主機根目錄掛接到容器中。

    該怎麼辦？

    2021 年 9 月 24 日更新：修補完成的 1.8.3 和 1.7.4 版現已推出。

    2021 年 9 月 17 日更新：修正包含修補程式的可用版本清單。

    下列 GKE on VMware 版本已更新程式碼，可修正這個安全漏洞。將管理員叢集和使用者叢集升級至下列其中一個版本：

    • 1.8.3
    • 1.8.2
    • 1.7.4
    • 1.6.5
    		 高

    GKE 叢集

    說明 嚴重性

    我們在 Kubernetes 中發現安全問題 (CVE-2021-25741)，使用者可能會建立含有子路徑磁碟區掛接項目的容器，藉此存取磁碟區以外的檔案和目錄，包括主機檔案系統中的檔案和目錄。

    技術詳細資料：

    在 CVE-2021-25741 中，攻擊者可以從已掛接的 emptyDir 建立符號連結至節點的根檔案系統 ( / )，kubelet 會追蹤符號連結，並將主機根目錄掛接到容器中。

    該怎麼辦？

    2021 年 9 月 16 日更新：新增 AWSCluster 和 AWSNodePool 物件支援的 gke 版本清單。

    下列 GKE on AWS 版本已更新程式碼，可修正這個安全漏洞。建議您採取下列做法：

    • 將 AWSManagementService、AWSCluster 和 AWSNodePool 物件升級至下列版本：
      • 1.8.2
    • 將 AWSCluster 和 AWSNodePool 物件的 gke-version 更新為支援的 Kubernetes 版本：
      • 1.17.17-gke.15800
      • 1.18.20-gke.4800
      • 1.19.14-gke.600
      • 1.20.10-gke.600
    		 高

    GKE 叢集

    說明 嚴重性

    我們在 Kubernetes 中發現安全問題 (CVE-2021-25741)，使用者可能會建立含有子路徑磁碟區掛接項目的容器，藉此存取磁碟區以外的檔案和目錄，包括主機檔案系統中的檔案和目錄。

    技術詳細資料：

    在 CVE-2021-25741 中，攻擊者可以從已掛接的 emptyDir 建立符號連結至節點的根檔案系統 ( / )，kubelet 會追蹤符號連結，並將主機根目錄掛接到容器中。

    該怎麼辦？

    下列版本的 GKE on Bare Metal 已更新程式碼，可修正這個安全漏洞。將管理員叢集和使用者叢集升級至下列其中一個版本：

    • 1.8.3
    • 1.7.4
    		 高

    GCP-2021-017

    發布日期：2021 年 9 月 1 日
    更新日期：2021 年 9 月 23 日
    參考資料：CVE-2021-33909
    CVE-2021-33910

    GKE

    說明 嚴重性
    2021 年 9 月 23 日更新：

    在 GKE Sandbox 中執行的容器不會受到這項安全漏洞影響，因為攻擊是從容器內部發起。

    2021 年 9 月 15 日更新：

    下列 GKE 版本已解決這些安全漏洞：

    • 1.18.20-gke.4100
    • 1.19.13-gke.1900
    • 1.20.9-gke.1500
    • 1.21.3-gke.1400

    Linux 核心中發現兩個安全漏洞，分別是 CVE-2021-33909 和 CVE-2021-33910。未經授權的使用者可利用這些漏洞導致 OS 當機，或升級為 Root 權限。所有 GKE 節點作業系統 (COS 和 Ubuntu) 都會受到這個安全漏洞影響。

    技術詳細資料：

    在 CVE-2021-33909 中，Linux 核心的檔案系統層未適當限制 seq 緩衝區分配，導致整數溢位、超出範圍寫入，以及升級為根層級。
    由於 CVE-2021-33910，systemd 的記憶體配置具有過大的大小值 (涉及 strdupa 和 alloca，適用於受本機攻擊者控制的路徑名稱)，導致作業系統當機。

    該怎麼辦？

    下列 GKE 版本的 Linux 節點映像檔已更新，並包含修正此安全漏洞的程式碼。將叢集升級至下列其中一個版本：

    • 1.18.20-gke.4100
    • 1.19.13-gke.1900
    • 1.20.9-gke.1500
    • 1.21.3-gke.1400
    		 高

    GKE 叢集

    說明 嚴重性

    Linux 核心中發現兩個安全漏洞，分別是 CVE-2021-33909 和 CVE-2021-33910。未經授權的使用者可利用這些漏洞導致 OS 當機，或升級為 Root 權限。所有 GKE 節點作業系統 (COS 和 Ubuntu) 都會受到這個安全漏洞影響。

    技術詳細資料：

    在 CVE-2021-33909 中，Linux 核心的檔案系統層未適當限制 seq 緩衝區分配，導致整數溢位、超出範圍寫入，以及升級為根層級。
    由於 CVE-2021-33910，systemd 的記憶體配置具有過大的大小值 (涉及 strdupa 和 alloca，適用於受本機攻擊者控制的路徑名稱)，導致作業系統當機。

    該怎麼辦？

    GKE on AWS 的 Linux 節點映像檔版本已更新程式碼，可修正這個安全漏洞。將叢集升級至下列任一版本：

    • 1.20.10-gke.600
    • 1.19.14-gke.600
    • 1.18.20-gke.4800
    • 1.17.17-gke.15800
    		 高

    GKE 叢集

    說明 嚴重性

    Linux 核心中發現兩個安全漏洞，分別是 CVE-2021-33909 和 CVE-2021-33910。未經授權的使用者可利用這些漏洞導致 OS 當機，或升級為 Root 權限。所有 GKE 節點作業系統 (COS 和 Ubuntu) 都會受到這個安全漏洞影響。

    技術詳細資料：

    在 CVE-2021-33909 中，Linux 核心的檔案系統層未適當限制 seq 緩衝區分配，導致整數溢位、超出範圍寫入，以及升級為根層級。
    由於 CVE-2021-33910，systemd 的記憶體配置具有過大的大小值 (涉及 strdupa 和 alloca，適用於受本機攻擊者控制的路徑名稱)，導致作業系統當機。

    該怎麼辦？

    我們已更新 VMware 專用 GKE 的 Linux 和 COS 節點映像檔版本，並加入修正這項安全漏洞的程式碼。將叢集升級至下列任一版本：

    • 1.9
    • 1.8.2
    • 1.7.3
    • 1.6.4 (僅限 Linux)

    請參閱「版本記錄 - Kubernetes 和節點核心版本」。

    		 高

    GCP-2021-015

    發布日期：2021-07-13
    更新日期：2021-07-15
    參考資料：CVE-2021-22555

    GKE

    說明 嚴重性

    我們最近發現新的安全漏洞 CVE-2021-22555，如果惡意行為人擁有 CAP_NET_ADMIN 權限，可能會導致容器突破防線，取得主機的 Root 權限。這個安全漏洞會影響執行 Linux 2.6.19 以上版本的所有 GKE 叢集和 GKE on VMware。

    技術詳細資料

    在這項攻擊中，Linux netfilter 子系統的 setsockopt 越界寫入漏洞可能會導致堆積損毀 (因此造成阻斷服務) 和權限提升。

    該怎麼辦？

    下列 GKE Linux 版本已更新程式碼，可修正這個安全漏洞。將叢集升級至下列其中一個版本：

    • 1.21.1-gke.2200
    • 1.20.7-gke.2200
    • 1.19.11-gke.2100
    • 1.18.20-gke.501

    這個修補程式修正了什麼安全漏洞？

    CVE-2021-22555

    		 高

    GKE 叢集

    說明 嚴重性

    我們最近發現新的安全漏洞 CVE-2021-22555，如果惡意行為人擁有 CAP_NET_ADMIN 權限，可能會導致容器突破防線，取得主機的 Root 權限。這個安全漏洞會影響執行 Linux 2.6.19 以上版本的所有 GKE 叢集和 GKE on VMware。

    技術詳細資料

    在這項攻擊中，Linux netfilter 子系統的 setsockopt 越界寫入漏洞可能會導致堆積損毀 (因此造成阻斷服務) 和權限提升。

    該怎麼辦？

    下列 GKE on VMware Linux 版本已更新程式碼，可修正這個安全漏洞。將叢集升級至下列其中一個版本：

    • 1.8
    • 1.7.3
    • 1.6.4

    這個修補程式修正了什麼安全漏洞？

    CVE-2021-22555

    		 高

    GCP-2021-014

    發布日期：2021 年 7 月 5 日
    參考資料：CVE-2021-34527

    GKE

    說明 嚴重性

    Microsoft 發布了安全公告，說明影響 Windows 伺服器列印多工緩衝區的遠端程式碼執行 (RCE) 安全漏洞 CVE-2021-34527。CERT 協調中心 (CERT/CC) 發布了相關安全漏洞的更新說明，該漏洞稱為「PrintNightmare」，也會影響 Windows 列印多工緩衝區 - PrintNightmare，Windows 列印多工緩衝區重大安全漏洞

    該怎麼辦？

    您無須採取任何行動，GKE Windows 節點的基礎映像檔不含受影響的 Spooler 服務，因此 GKE Windows 部署作業不會受到這項攻擊影響。

    本公告涵蓋哪些安全漏洞？

    		 高

    GCP-2021-012

    發布日期：2021-07-01
    更新日期：2021-07-09
    參考資料：CVE-2021-34824

    GKE

    說明 嚴重性

    該怎麼辦？

    Istio 專案最近揭露了一項新的安全漏洞 (CVE-2021-34824)，會影響 Istio。Istio 含有可從遠端發動攻擊的安全漏洞，可從不同命名空間存取 Gateway 和 DestinationRule credentialName 欄位中指定的憑證。

    技術詳細資料：

    Istio 安全閘道或使用 DestinationRule 的工作負載，可透過 credentialName 設定從 Kubernetes 密鑰載入 TLS 私密金鑰和憑證。從 Istio 1.8 以上版本開始，系統會從 istiod 讀取密鑰，並透過 XDS 傳送至閘道和工作負載。

    一般來說，閘道或工作負載部署作業只能存取命名空間內密鑰中儲存的 TLS 憑證和私密金鑰。不過，istiod 的錯誤允許有權存取 Istio XDS API 的用戶端，擷取 istiod 中快取的任何 TLS 憑證和私密金鑰。

    該怎麼辦？

    GKE 叢集預設不會執行 Istio，且啟用時會使用 Istio 1.6 版，因此不會受到這項攻擊影響。如果叢集已安裝或升級至 Istio 1.8 以上版本，請將 Istio 升級至最新支援版本。

    		 高

    GKE 叢集

    說明 嚴重性

    該怎麼辦？

    Istio 專案最近揭露了一項新的安全漏洞 (CVE-2021-34824)，會影響 Istio。Istio 含有可從遠端發動攻擊的安全漏洞，可從不同命名空間存取 Gateway 和 DestinationRule credentialName 欄位中指定的憑證。

    技術詳細資料：

    Istio 安全閘道或使用 DestinationRule 的工作負載，可透過 credentialName 設定從 Kubernetes 密鑰載入 TLS 私密金鑰和憑證。從 Istio 1.8 以上版本開始，系統會從 istiod 讀取密鑰，並透過 XDS 傳送至閘道和工作負載。

    一般來說，閘道或工作負載部署作業只能存取命名空間內密鑰中儲存的 TLS 憑證和私密金鑰。不過，istiod 的錯誤允許有權存取 Istio XDS API 的用戶端，擷取 istiod 中快取的任何 TLS 憑證和私密金鑰。

    該怎麼辦？

    VMware 中的 Anthos 叢集 v1.6 和 v1.7 不會受到這類攻擊。VMware 中的 Anthos 叢集 v1.8 容易受到攻擊。

    如果您使用 Anthos clusters on VMware v1.8，請升級至下列修補版本或更新版本：

    • 1.8.0-gke.25
    		 高

    GKE 叢集

    說明 嚴重性

    該怎麼辦？

    Istio 專案最近揭露了一項新的安全漏洞 (CVE-2021-34824)，會影響 Istio。Istio 含有可從遠端發動攻擊的安全漏洞，可從不同命名空間存取 Gateway 和 DestinationRule credentialName 欄位中指定的憑證。

    技術詳細資料：

    Istio 安全閘道或使用 DestinationRule 的工作負載，可透過 credentialName 設定從 Kubernetes 密鑰載入 TLS 私密金鑰和憑證。從 Istio 1.8 以上版本開始，系統會從 istiod 讀取密鑰，並透過 XDS 傳送至閘道和工作負載。

    一般來說，閘道或工作負載部署作業只能存取命名空間內密鑰中儲存的 TLS 憑證和私密金鑰。不過，istiod 的錯誤允許有權存取 Istio XDS API 的用戶端，擷取 istiod 中快取的任何 TLS 憑證和私密金鑰。使用 Bare Metal 中的 Anthos 叢集 v1.8.0 建立或升級的叢集會受到這個 CVE 影響。

    該怎麼辦？

    Anthos v1.6 和 1.7 不會受到這項攻擊影響。如果您有 1.8.0 叢集，請下載並安裝 1.8.1 版的 bmctl，然後將叢集升級至下列修補版本：

    • 1.8.1
    		 高

    GCP-2021-011

    發布日期：2021 年 6 月 4 日
    更新日期：2021 年 10 月 19 日
    參考資料：CVE-2021-30465

    2021 年 10 月 19 日更新：新增 GKE on VMware、GKE on AWS 和 GKE on Bare Metal 的公告。

    GKE

    說明 嚴重性

    安全社群最近揭露了 runc 中發現的新安全漏洞 (CVE-2021-30465)，這個漏洞可能會讓使用者完全存取節點檔案系統。

    在 GKE 中，由於必須具備建立 Pod 的能力才能利用這個安全漏洞，因此我們將這個安全漏洞的嚴重程度評定為「中」。

    技術詳細資料

    掛接磁碟區時，runc 套件容易受到符號連結交換攻擊。

    針對這項特定攻擊，使用者可能會在單一節點上同時啟動多個 Pod，而這些 Pod 都與符號連結共用相同的磁碟區掛接，藉此利用競爭條件。

    如果攻擊成功，其中一個 Pod 會以根層級權限掛接節點的檔案系統。

    該怎麼辦？

    我們已發布 runc (1.0.0-rc95) 的新修補程式，修正這個安全漏洞。

    將 GKE 叢集升級至下列其中一個更新版本：

    • 1.18.19-gke.2100
    • 1.19.9-gke.1400
    • 1.20.6-gke.1400
    • 1.21.2-gke.600

    中

    GKE 叢集

    說明 嚴重性

    安全社群最近揭露了 runc 中發現的新安全漏洞 (CVE-2021-30465)，這個漏洞可能會讓使用者完全存取節點檔案系統。

    對於 VMware 上的 GKE，由於要利用這個安全漏洞，必須能夠建立 Pod，因此我們將這個安全漏洞的嚴重程度評為「中」。

    技術詳細資料

    掛接磁碟區時，runc 套件容易受到符號連結交換攻擊。

    針對這項特定攻擊，使用者可能會在單一節點上同時啟動多個 Pod，而這些 Pod 都與符號連結共用相同的磁碟區掛接，藉此利用競爭條件。

    如果攻擊成功，其中一個 Pod 會以根層級權限掛接節點的檔案系統。

    該怎麼辦？

    我們已發布 runc 的新修補程式，可修正這項安全漏洞。將 GKE on VMware 升級至下列其中一個版本：

    • 1.7.3-gke-2
    • 1.8.1-gke.7
    • 1.9.0-gke.8

    中

    GKE 叢集

    說明 嚴重性

    安全社群最近揭露了 runc 中發現的新安全漏洞 (CVE-2021-30465)，這個漏洞可能會讓使用者完全存取節點檔案系統。

    由於這是 OS 層級的安全漏洞，因此 GKE on AWS 不會受到影響。

    技術詳細資料

    掛接磁碟區時，runc 套件容易受到符號連結交換攻擊。

    針對這項特定攻擊，使用者可能會在單一節點上同時啟動多個 Pod，而這些 Pod 都與符號連結共用相同的磁碟區掛接，藉此利用競爭條件。

    如果攻擊成功，其中一個 Pod 會以根層級權限掛接節點的檔案系統。

    該怎麼辦？

    請確保執行 GKE on AWS 的作業系統版本已升級至最新版本，且該版本具有更新的 runc 套件。

    無

    GKE 叢集

    說明 嚴重性

    安全社群最近揭露了 runc 中發現的新安全漏洞 (CVE-2021-30465)，這個漏洞可能會讓使用者完全存取節點檔案系統。

    由於這是 OS 層級的安全漏洞，因此 GKE on Bare Metal 不會受到影響。

    技術詳細資料

    掛接磁碟區時，runc 套件容易受到符號連結交換攻擊。

    針對這項特定攻擊，使用者可能會在單一節點上同時啟動多個 Pod，而這些 Pod 都與符號連結共用相同的磁碟區掛接，藉此利用競爭條件。

    如果攻擊成功，其中一個 Pod 會以根層級權限掛接節點的檔案系統。

    該怎麼辦？

    請確認執行 Google Distributed Cloud Virtual for Bare Metal 的 OS 版本已升級至最新版本，且該版本具有更新的 runc 套件。

    無

    GCP-2021-006

    發布日期：2021 年 5 月 11 日
    參考資料：CVE-2021-31920

    GKE

    說明 嚴重性

    Istio 專案最近揭露了一項新的安全漏洞 (CVE-2021-31920)，會影響 Istio。

    Istio 含有可從遠端發動攻擊的安全性漏洞。如果使用路徑式授權規則，當 HTTP 要求含有多個斜線或逸出斜線字元時，可能會繞過 Istio 授權政策。

    該怎麼辦？

    強烈建議您更新及重新設定 GKE 叢集。請注意，您必須完成下列兩個步驟，才能成功解決安全漏洞：

    1. 更新叢集： 請盡快按照下列操作說明，將叢集升級至最新修補程式版本：
      • 如果您使用 Istio on GKE 1.6：

        最新修補程式版本為 1.6.14-gke.3。請按照升級操作說明，將叢集升級至最新版本。

      • 如果您使用的是 Istio on GKE 1.4：

        • Istio 已不再支援 Istio on GKE 1.4 版本，我們也不會將 CVE 修復程式反向移植到這些版本。請按照 Istio 升級操作說明將叢集升級至 1.6，然後按照上述操作說明，在 GKE 1.6 上取得最新版 Istio。

    2. 設定 Istio：

      叢集修補完成後，您必須重新設定 GKE 上的 Istio。請參閱安全性最佳做法指南，正確設定系統。

    高

    GCP-2021-004

    發布日期：2021 年 5 月 6 日
    參考資料：CVE-2021-28683、 CVE-2021-28682、 CVE-2021-29258

    GKE

    說明 嚴重性

    Envoy 和 Istio 專案最近宣布了幾項新的安全漏洞 (CVE-2021-28683、CVE-2021-28682 和 CVE-2021-29258)，攻擊者可能會利用這些漏洞導致 Envoy 停止運作。

    GKE 叢集預設不會執行 Istio，因此不會受到影響。如果叢集已安裝 Istio，並設定將服務公開至網際網路，這些服務可能會受到阻斷服務攻擊。

    該怎麼辦？

    如要修正這些安全漏洞，請將 GKE 控制層升級至下列修補版本之一：

    • 1.16.15-gke.16200
    • 1.17.17-gke.6100
    • 1.18.17-gke.1300
    • 1.19.9-gke.1300
    • 1.20.5-gke.1400
    		 中

    GKE 叢集

    說明 嚴重性

    Envoy 和 Istio 專案最近宣布了幾項新的安全漏洞 (CVE-2021-28683、CVE-2021-28682 和 CVE-2021-29258)，攻擊者可能會利用這些漏洞導致 Envoy 停止運作。

    GKE on VMware 預設會使用 Envoy 做為 Ingress，因此 Ingress 服務可能會受到阻斷服務攻擊。

    該怎麼辦？

    如要修正這些安全漏洞，請在發布後將 GKE on VMware 升級至下列修補版本之一：

    • 1.5.4
    • 1.6.3
    • 1.7.1
    		 中

    GKE 叢集

    更新日期： 2021 年 5 月 6 日

    說明 嚴重性

    Envoy 和 Istio 專案最近宣布了幾項新的安全漏洞 (CVE-2021-28683、CVE-2021-28682 和 CVE-2021-29258)，攻擊者可能會利用這些漏洞導致 Envoy 停止運作。

    Google Distributed Cloud Virtual for Bare Metal 預設會使用 Envoy 進行 Ingress，因此 Ingress 服務可能會受到阻斷服務攻擊。

    該怎麼辦？

    如要修正這些安全漏洞，請在發布後，將 Google Distributed Cloud Virtual for Bare Metal 叢集升級至下列其中一個修補版本：

    • 1.6.3
    • 1.7.1
    		 中

    GCP-2021-003

    發布日期：2021 年 4 月 19 日
    參考資料：CVE-2021-25735

    GKE

    說明 嚴重性

    Kubernetes 專案最近發布了一項新的安全漏洞，標記為 CVE-2021-25735。這個漏洞可能會導致節點更新作業略過驗證 Admission Webhook。

    如果攻擊者具備足夠的權限，且實作的驗證許可控制器使用舊版 Node 物件屬性 (例如 Node.NodeSpec 中的欄位)，攻擊者就能更新節點屬性，導致叢集遭到入侵。GKE 和 Kubernetes 內建准入控制器強制執行的政策都不會受到影響，但我們建議客戶檢查已安裝的任何其他准入 Webhook。

    該怎麼辦？

    如要修正這個安全漏洞，請將 GKE 叢集升級至下列修補版本之一：

    • 1.18.17-gke.900
    • 1.19.9-gke.900
    • 1.20.5-gke.900
    		 中

    GKE 叢集

    說明 嚴重性

    Kubernetes 專案最近發布了一項新的安全漏洞，標記為 CVE-2021-25735。這個漏洞可能會導致節點更新作業略過驗證 Admission Webhook。

    如果攻擊者具備足夠的權限，且實作的驗證許可控制器使用舊版 Node 物件屬性 (例如 Node.NodeSpec 中的欄位)，攻擊者就能更新節點屬性，導致叢集遭到入侵。GKE 和 Kubernetes 內建准入控制器強制執行的政策都不會受到影響，但我們建議客戶檢查已安裝的任何其他准入 Webhook。

    該怎麼辦？

    即將提供的修補程式版本會包含此安全漏洞的因應措施。

    		 中

    GKE 叢集

    說明 嚴重性

    Kubernetes 專案最近發布了一項新的安全漏洞，標記為 CVE-2021-25735。這個漏洞可能會導致節點更新作業略過驗證 Admission Webhook。

    如果攻擊者具備足夠的權限，且實作的驗證許可控制器使用舊版 Node 物件屬性 (例如 Node.NodeSpec 中的欄位)，攻擊者就能更新節點屬性，導致叢集遭到入侵。GKE 和 Kubernetes 內建准入控制器強制執行的政策都不會受到影響，但我們建議客戶檢查已安裝的任何其他准入 Webhook。

    該怎麼辦？

    即將提供的修補程式版本會包含此安全漏洞的因應措施。

    		 中

    GKE 叢集

    說明 嚴重性

    Kubernetes 專案最近發布了一項新的安全漏洞，標記為 CVE-2021-25735。這個漏洞可能會導致節點更新作業略過驗證 Admission Webhook。

    如果攻擊者具備足夠的權限，且實作的驗證許可控制器使用舊版 Node 物件屬性 (例如 Node.NodeSpec 中的欄位)，攻擊者就能更新節點屬性，導致叢集遭到入侵。GKE 和 Kubernetes 內建准入控制器強制執行的政策都不會受到影響，但我們建議客戶檢查已安裝的任何其他准入 Webhook。

    該怎麼辦？

    即將提供的修補程式版本會包含此安全漏洞的因應措施。

    		 中

    GCP-2021-001

    發布日期：2021 年 1 月 28 日
    參考資料：CVE-2021-3156

    GKE

    說明 嚴重性

    我們最近在 Linux 公用程式 sudo 中發現一個安全漏洞 (請參考 CVE-2021-3156 中的說明)。如果系統已安裝 sudo，攻擊者可能會利用這個安全漏洞，在未經授權的情況下取得本機殼層存取權，並將系統權限提升為 Root。

    Google Kubernetes Engine (GKE) 叢集不受這項安全漏洞影響：

    • 獲授權可透過 SSH 連線至 GKE 節點的使用者，本來就屬於高權限使用者，因此可依設計使用 sudo 取得超級使用者權限。在此情境中，這個安全漏洞不會產生任何額外的權限提升路徑。
    • 大多數 GKE 系統容器都是以不含殼層或 sudo 的 distroless 基本映像檔建構而成。其他映像檔則是以不含 sudo 的 Debian 基本映像檔建構而成。即使存在 sudo，由於容器界線，您也無法透過容器內的 sudo 存取主機。

    該怎麼辦？

    由於 GKE 叢集不會受到這個安全漏洞影響，因此不必採取其他行動。

    GKE 會在即將推出的版本中，依一般節奏套用此安全漏洞的修補程式。

    		 無

    GKE 叢集

    說明 嚴重性

    我們最近在 Linux 公用程式 sudo 中發現一個安全漏洞 (請參考 CVE-2021-3156 中的說明)。如果系統已安裝 sudo，攻擊者可能會利用這個安全漏洞，在未經授權的情況下取得本機殼層存取權，並將系統權限提升為 Root。

    GKE on VMware 不受這個安全漏洞影響：

    • 獲授權可透過 SSH 連線至 VMware 中 GKE 節點的使用者，本來就屬於高權限使用者，因此可依設計使用 sudo 取得根層級權限。在此情境中，這個安全漏洞不會產生任何額外的權限提升路徑。
    • 大多數 GKE on VMware 系統容器都是以不含殼層的基本映像檔建構而成，因此沒有安裝 sudo。其他映像檔則是以不含 sudo 的 Debian 基本映像檔建構而成。即使存在 sudo，由於容器邊界，您也無法透過容器內的 sudo 存取主機。

    該怎麼辦？

    由於 GKE on VMware 叢集不會受到這個安全漏洞影響，因此不必採取任何行動。

    GKE on VMware 會在即將發布的版本中，依一般節奏套用此安全漏洞的修補程式。

    		 無

    GKE 叢集

    說明 嚴重性

    我們最近在 Linux 公用程式 sudo 中發現一個安全漏洞 (請參考 CVE-2021-3156 中的說明)。如果系統已安裝 sudo，攻擊者可能會利用這個安全漏洞，在未經授權的情況下取得本機殼層存取權，並將系統權限提升為 Root。

    GKE on AWS 不受這個安全漏洞影響：

    • 獲授權可透過 SSH 連線至 GKE on AWS 節點的使用者，已視為具備高權限，且可依設計使用 sudo 取得超級使用者權限。在此情境中，這個安全漏洞不會產生任何額外的權限提升路徑。
    • 大多數 GKE on AWS 系統容器都是以不含殼層的基本映像檔建構而成，且未安裝 sudo。其他映像檔則是以不含 sudo 的 Debian 基本映像檔建構而成。即使存在 sudo，由於容器邊界，您也無法透過容器內的 sudo 存取主機。

    該怎麼辦？

    由於 AWS 叢集上的 GKE 不會受到這個安全漏洞影響，因此不必採取進一步行動。

    GKE on AWS 會在即將發布的版本中，依一般節奏套用此安全漏洞的修補程式。

    		 無

    GKE 叢集

    說明 嚴重性

    我們最近在 Linux 公用程式 sudo 中發現一個安全漏洞 (請參考 CVE-2021-3156 中的說明)。如果系統已安裝 sudo，攻擊者可能會利用這個安全漏洞，在未經授權的情況下取得本機殼層存取權，並將系統權限提升為 Root。

    Google Distributed Cloud Virtual for Bare Metal 叢集不受這項安全漏洞影響：

    • 如果使用者有權透過 SSH 連線至 Google Distributed Cloud Virtual for Bare Metal 節點，即屬於高權限使用者，可依設計使用 sudo 取得超級使用者權限。在此情境中，這個安全漏洞不會產生任何額外的權限提升路徑。
    • 大多數 Google Distributed Cloud Virtual for Bare Metal 系統容器都是以無發行版本的基本映像檔建構而成，這類映像檔沒有 Shell 或 sudo。其他映像檔則是以不含 sudo 的 Debian 基本映像檔建構而成。即使存在 sudo，由於容器邊界，您也無法透過容器內的 sudo 存取主機。

    該怎麼辦？

    Google Distributed Cloud Virtual for Bare Metal 叢集不受這項安全漏洞影響，因此無須採取任何行動。

    Google Distributed Cloud Virtual for Bare Metal 會在即將發布的版本中，定期套用此安全漏洞的修補程式。

    		 無

    GCP-2020-015

    發布日期：2020-12-07
    更新日期：2021-12-22
    參考資料：CVE-2020-8554

    2021 年 12 月 22 日更新：使用 gcloud beta，而非 gcloud 指令。

    2021 年 12 月 15 日更新：新增 GKE 的其他緩解措施。

    GKE

    說明 嚴重性
    更新日期：2021 年 12 月 22 日。下列章節中的 GKE 指令應使用 gcloud beta，而非 gcloud 指令。
    gcloud beta container clusters update –no-enable-service-externalips
    更新日期：2021 年 12 月 15 日。GKE 現已提供下列緩解措施：
    1. 從 GKE 1.21 版開始，系統會預設為新叢集啟用DenyServiceExternalIPs准入控制器，禁止服務使用 ExternalIP。
    2. 升級至 GKE 1.21 版的客戶可以使用下列指令，封鎖具有 ExternalIP 的服務：
      gcloud container clusters update –no-enable-service-externalips

    詳情請參閱 強化叢集安全性。

    Kubernetes 專案最近發現一項新的安全漏洞 CVE-2020-8554，如果攻擊者取得權限，建立類型為 LoadBalancer 或 ClusterIP 的 Kubernetes 服務，就可能攔截叢集中其他 Pod 產生的網路流量。

    單獨利用這項安全漏洞，攻擊者無法取得建立 Kubernetes 服務的權限。

    所有 Google Kubernetes Engine (GKE) 叢集都會受到這個安全漏洞影響。

    該怎麼辦？

    Kubernetes 可能需要在未來版本中進行不具回溯相容性的設計變更，以解決這項安全漏洞。

    如果許多使用者共用叢集存取權，且有權建立服務 (例如在多租戶叢集中)，請考慮暫時套用緩解措施。目前，最佳的緩解方法是在叢集中限制使用 ExternalIP。ExternalIPs 並非常用功能。

    使用下列其中一種方法，限制叢集使用 ExternalIP：

    1. 使用 GKE Enterprise Policy Controller 或 Gatekeeper 搭配這個限制範本，然後套用。例如：
      # Only allow the creation of Services with no
# ExternalIP or an ExternalIP of 203.0.113.1:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sExternalIPs
metadata:
  name: external-ips
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Service"]
  parameters:
    allowedIPs:
      - "203.0.113.1"
    2. 或安裝准入控制器，禁止使用 ExternalIP。 Kubernetes 專案已提供這項工作的範例許可控制器。

    如 Kubernetes 公告所述，由於預設只有高權限使用者和系統元件會獲得 container.services.updateStatus 權限，因此無法針對 LoadBalancer 類型的服務提供緩解措施，因為利用這項安全漏洞需要該權限。

    		 中

    GKE 叢集

    說明 嚴重性
    更新日期：2021 年 12 月 22 日。下列章節中的 GKE 指令應使用 gcloud beta，而非 gcloud 指令。
    gcloud beta container clusters update –no-enable-service-externalips
    更新日期：2021 年 12 月 15 日。GKE 現已提供下列緩解措施：
    1. 從 GKE 1.21 版開始，系統會預設為新叢集啟用DenyServiceExternalIPs准入控制器，禁止服務使用 ExternalIP。
    2. 升級至 GKE 1.21 版的客戶可以使用下列指令，封鎖具有 ExternalIP 的服務：
      gcloud container clusters update –no-enable-service-externalips

    詳情請參閱 強化叢集安全性。

    Kubernetes 專案最近發現一項新的安全漏洞 CVE-2020-8554，如果攻擊者取得權限，建立類型為 LoadBalancer 或 ClusterIP 的 Kubernetes 服務，就可能攔截叢集中其他 Pod 產生的網路流量。

    單獨利用這項安全漏洞，攻擊者無法取得建立 Kubernetes 服務的權限。

    所有 GKE on VMware 都會受到這個安全漏洞的影響。

    該怎麼辦？

    Kubernetes 可能需要在未來版本中進行不具回溯相容性的設計變更，以解決這項安全漏洞。

    如果許多使用者共用叢集存取權，且有權建立服務 (例如在多租戶叢集中)，請考慮暫時套用緩解措施。目前，最佳的緩解方法是在叢集中限制使用 ExternalIP。ExternalIPs 並非常用功能。

    使用下列其中一種方法，限制叢集使用 ExternalIP：

    1. 使用 GKE Enterprise Policy Controller 或 Gatekeeper 搭配這個限制範本，然後套用。例如：
      # Only allow the creation of Services with no
# ExternalIP or an ExternalIP of 203.0.113.1:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sExternalIPs
metadata:
  name: external-ips
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Service"]
  parameters:
    allowedIPs:
      - "203.0.113.1"
    2. 或安裝准入控制器，禁止使用 ExternalIP。 Kubernetes 專案已提供這項工作的範例許可控制器。

    如 Kubernetes 公告所述，由於預設只有高權限使用者和系統元件會獲得 container.services.updateStatus 權限，因此無法針對 LoadBalancer 類型的服務提供緩解措施，因為利用這項安全漏洞需要該權限。

    		 中

    GKE 叢集

    說明 嚴重性
    更新日期：2021 年 12 月 22 日。下列章節中的 GKE 指令應使用 gcloud beta，而非 gcloud 指令。
    gcloud beta container clusters update –no-enable-service-externalips
    更新日期：2021 年 12 月 15 日。GKE 現已提供下列緩解措施：
    1. 從 GKE 1.21 版開始，系統會預設為新叢集啟用DenyServiceExternalIPs准入控制器，禁止服務使用 ExternalIP。
    2. 升級至 GKE 1.21 版的客戶可以使用下列指令，封鎖具有 ExternalIP 的服務：
      gcloud container clusters update –no-enable-service-externalips

    詳情請參閱 強化叢集安全性。

    Kubernetes 專案最近發現一個新的安全漏洞 CVE-2020-8554，如果攻擊者取得權限，建立類型為 LoadBalancer 或 ClusterIP 的 Kubernetes 服務，就可能攔截叢集中其他 Pod 產生的網路流量。

    單獨利用這項安全漏洞，攻擊者無法取得建立 Kubernetes 服務的權限。

    所有 GKE on AWS 都會受到這個安全漏洞的影響。

    該怎麼辦？

    Kubernetes 可能需要在未來版本中進行不具回溯相容性的設計變更，以解決這項安全漏洞。

    如果許多使用者共用叢集存取權，且有權建立服務 (例如在多租戶叢集中)，請考慮暫時套用緩解措施。目前，最佳的緩解方法是在叢集中限制使用 ExternalIP。ExternalIPs 並非常用功能。

    使用下列其中一種方法，限制叢集使用 ExternalIP：

    1. 使用 GKE Enterprise Policy Controller 或 Gatekeeper 搭配這個限制範本，然後套用。例如：
      # Only allow the creation of Services with no
# ExternalIP or an ExternalIP of 203.0.113.1:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sExternalIPs
metadata:
  name: external-ips
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Service"]
  parameters:
    allowedIPs:
      - "203.0.113.1"
    2. 或安裝准入控制器，禁止使用 ExternalIP。 Kubernetes 專案已提供這項工作的範例許可控制器。

    如 Kubernetes 公告所述，由於預設只有高權限使用者和系統元件會獲得 container.services.updateStatus 權限，因此無法針對 LoadBalancer 類型的服務提供緩解措施，因為利用這項安全漏洞需要該權限。

    		 中

    GCP-2020-014

    發布日期：2020 年 10 月 20 日
    參考資料： CVE-2020-8563、 CVE-2020-8564、 CVE-2020-8565、 CVE-2020-8566

    GKE

    更新日期： 2020 年 10 月 20 日

    說明 嚴重性

    Kubernetes 專案最近發現多個問題，如果啟用詳細記錄選項，機密資料可能會外洩。問題如下：

    • CVE-2020-8563：vSphere Provider kube-controller-manager 的記錄檔中出現機密資訊外洩問題
    • CVE-2020-8564：檔案格式錯誤且記錄層級 >= 4 時，Docker 設定 Secret 會外洩
    • CVE-2020-8565：Kubernetes 中針對 CVE-2019-11250 的修正不完整，導致當 logLevel >= 9 時，記錄中會出現權杖外洩問題。由 GKE Security 發現。
    • CVE-2020-8566：當 loglevel >= 4 時，記錄檔中會公開 Ceph RBD adminSecrets

    GKE 不受影響。

    該怎麼辦？

    由於 GKE 的預設詳細程度記錄層級，因此不需要採取進一步行動。

    		 無

    GKE 叢集

    更新日期： 2020-10-10

    說明 嚴重性

    Kubernetes 專案最近發現多個問題，如果啟用詳細記錄選項，機密資料可能會外洩。問題如下：

    • CVE-2020-8563：vSphere Provider kube-controller-manager 的記錄檔中出現機密資訊外洩問題
    • CVE-2020-8564：檔案格式錯誤且記錄層級 >= 4 時，Docker 設定 Secret 會外洩
    • CVE-2020-8565：Kubernetes 中針對 CVE-2019-11250 的修正不完整，導致當 logLevel >= 9 時，記錄中會出現權杖外洩問題。由 GKE Security 發現。
    • CVE-2020-8566：當 loglevel >= 4 時，記錄檔中會公開 Ceph RBD adminSecrets

    GKE on VMware 不受影響。

    該怎麼辦？

    由於 GKE 的預設詳細程度記錄層級，因此不需要採取進一步行動。

    		 無

    GKE 叢集

    更新日期： 2020 年 10 月 20 日

    說明 嚴重性

    Kubernetes 專案最近發現多個問題，如果啟用詳細記錄選項，機密資料可能會外洩。問題如下：

    • CVE-2020-8563：vSphere Provider kube-controller-manager 的記錄檔中出現機密資訊外洩問題
    • CVE-2020-8564：檔案格式錯誤且記錄層級 >= 4 時，Docker 設定 Secret 會外洩
    • CVE-2020-8565：Kubernetes 中針對 CVE-2019-11250 的修正不完整，導致當 logLevel >= 9 時，記錄中會出現權杖外洩問題。由 GKE Security 發現。
    • CVE-2020-8566：當 loglevel >= 4 時，記錄檔中會公開 Ceph RBD adminSecrets

    GKE on AWS 不受影響。

    該怎麼辦？

    由於 GKE 的預設詳細程度記錄層級，因此不需要採取進一步行動。

    		 無

    GCP-2020-012

    發布日期：2020-09-14
    參考資料：CVE-2020-14386

    GKE

    說明 嚴重性

    最近在 Linux 核心發現一個安全漏洞 (請參考 CVE-2020-14386 中的說明)。這項漏洞可能會允許濫用容器逃逸，並獲得主機節點上的 Root 權限。

    所有 GKE 節點都會受到影響。在 GKE Sandbox 中執行的 Pod 無法利用這個安全漏洞。

    該怎麼辦？

    如要修正這個安全漏洞，請升級控制層，然後將節點升級至下列修補版本之一：

    • 1.14.10-gke.50
    • 1.15.12-gke.20
    • 1.16.13-gke.401
    • 1.17.9-gke.1504
    • 1.18.6-gke.3504

    如要利用這個安全漏洞，必須使用 CAP_NET_RAW，但一般來說，極少容器需要使用 CAP_NET_RAW。依據預設，系統應該會透過 PodSecurityPolicy 或 Policy Controller 封鎖這項功能及其他強大的功能：

    如要從容器捨棄 CAP_NET_RAW 功能，請選擇下列其中一種做法：

    • 使用 PodSecurityPolicy 強制封鎖這些功能，例如： 
          # Require dropping CAP_NET_RAW with a PSP
    apiversion: extensions/v1beta1
    kind: PodSecurityPolicy
    metadata:
      name: no-cap-net-raw
    spec:
      requiredDropCapabilities:
        -NET_RAW
         ...
         # Unrelated fields omitted
    • 或者，使用 Policy Controller 或 Gatekeeper 搭配這個限制範本，然後套用，例如： 
          # Dropping CAP_NET_RAW with Gatekeeper
    # (requires the K8sPSPCapabilities template)
    apiversion: constraints.gatekeeper.sh/v1beta1
    kind:  K8sPSPCapabilities
    metadata:
      name: forbid-cap-net-raw
    spec:
      match:
        kinds:
          - apiGroups: [""]
          kinds: ["Pod"]
        namespaces:
          #List of namespaces to enforce this constraint on
          - default
        # If running gatekeeper >= v3.1.0-beta.5,
        # you can exclude namespaces rather than including them above.
        excludedNamespaces:
          - kube-system
      parameters:
        requiredDropCapabilities:
          - "NET_RAW"
    • 或者，更新您的 pod 規格： 
          # Dropping CAP_NET_RAW from a Pod:
    apiVersion: v1
    kind: Pod
    metadata:
      name: no-cap-net-raw
    spec:
      containers:
        -name: my-container
         ...
        securityContext:
          capabilities:
            drop:
              -NET_RAW

    這個修補程式修正了什麼安全漏洞？

    這個修補程式可有效降低下列安全漏洞的風險：

    安全漏洞 CVE-2020-14386 允許具有 CAP_NET_RAW 的容器寫入 1 到 10 個位元組的核心記憶體，並可能逃逸容器，取得主機節點的 Root 權限。這個安全漏洞的嚴重性為「高」。

    		 高

    GKE 叢集

    更新日期： 2020 年 9 月 17 日

    說明 嚴重性

    最近在 Linux 核心發現一個安全漏洞 (請參考 CVE-2020-14386 中的說明)。這項漏洞可能會允許濫用容器逃逸，並獲得主機節點上的 Root 權限。

    所有 GKE on VMware 節點都會受到影響。

    該怎麼辦？

    如要修正這個安全漏洞，請升級叢集至修補版本。下列即將推出的 {gke_on_prem_name}} 版本會包含這個安全漏洞的修正措施，我們會在這些版本推出時更新這份公告：

    • GKE on VMware 1.4.3 現已推出。
    • VMware 中的 GKE 1.3.4 現已推出。

    如要利用這個安全漏洞，必須使用 CAP_NET_RAW，但一般來說，極少容器需要使用 CAP_NET_RAW。依據預設，系統應該會透過 PodSecurityPolicy 或 Policy Controller 封鎖這項功能及其他強大的功能：

    如要從容器捨棄 CAP_NET_RAW 功能，請選擇下列其中一種做法：

    • 使用 PodSecurityPolicy 強制封鎖這些功能，例如： 
          # Require dropping CAP_NET_RAW with a PSP
    apiversion: extensions/v1beta1
    kind: PodSecurityPolicy
    metadata:
      name: no-cap-net-raw
    spec:
      requiredDropCapabilities:
        -NET_RAW
         ...
         # Unrelated fields omitted
    • 或者，使用 Policy Controller 或 Gatekeeper 搭配這個限制範本，然後套用，例如： 
          # Dropping CAP_NET_RAW with Gatekeeper
    # (requires the K8sPSPCapabilities template)
    apiversion: constraints.gatekeeper.sh/v1beta1
    kind:  K8sPSPCapabilities
    metadata:
      name: forbid-cap-net-raw
    spec:
      match:
        kinds:
          - apiGroups: [""]
          kinds: ["Pod"]
        namespaces:
          #List of namespaces to enforce this constraint on
          - default
        # If running gatekeeper >= v3.1.0-beta.5,
        # you can exclude namespaces rather than including them above.
        excludedNamespaces:
          - kube-system
      parameters:
        requiredDropCapabilities:
          - "NET_RAW"
    • 或者，更新您的 pod 規格： 
          # Dropping CAP_NET_RAW from a Pod:
    apiVersion: v1
    kind: Pod
    metadata:
      name: no-cap-net-raw
    spec:
      containers:
        -name: my-container
         ...
        securityContext:
          capabilities:
            drop:
              -NET_RAW

    這個修補程式修正了什麼安全漏洞？

    這個修補程式可有效降低下列安全漏洞的風險：

    安全漏洞 CVE-2020-14386 允許具有 CAP_NET_RAW 的容器寫入 1 到 10 個位元組的核心記憶體，並可能逃逸容器，取得主機節點的 Root 權限。這個安全漏洞的嚴重性為「高」。

    		 高

    GKE 叢集

    更新日期： 2020 年 10 月 13 日

    說明 嚴重性

    最近在 Linux 核心發現一個安全漏洞 (請參考 CVE-2020-14386 中的說明)。這項漏洞可能會允許濫用容器逃逸，並獲得主機節點上的 Root 權限。

    所有 GKE on AWS 節點都會受到影響。

    該怎麼辦？

    如要修正這個安全漏洞，請將管理服務和使用者叢集升級至修補版本。以下即將推出的 GKE on AWS 版本或更高版本將包含這個安全漏洞的修正措施，我們會在這些版本推出時更新這份公告：

    • 1.5.0-gke.6
    • 1.4.3-gke.7

    如要從容器捨棄 CAP_NET_RAW 功能，請選擇下列其中一種做法：

    • 使用 PodSecurityPolicy 強制封鎖這些功能，例如： 
          # Require dropping CAP_NET_RAW with a PSP
    apiversion: extensions/v1beta1
    kind: PodSecurityPolicy
    metadata:
      name: no-cap-net-raw
    spec:
      requiredDropCapabilities:
        -NET_RAW
         ...
         # Unrelated fields omitted
    • 或者，使用 Policy Controller 或 Gatekeeper 搭配這個限制範本，然後套用，例如： 
          # Dropping CAP_NET_RAW with Gatekeeper
    # (requires the K8sPSPCapabilities template)
    apiversion: constraints.gatekeeper.sh/v1beta1
    kind:  K8sPSPCapabilities
    metadata:
      name: forbid-cap-net-raw
    spec:
      match:
        kinds:
          - apiGroups: [""]
          kinds: ["Pod"]
        namespaces:
          #List of namespaces to enforce this constraint on
          - default
        # If running gatekeeper >= v3.1.0-beta.5,
        # you can exclude namespaces rather than including them above.
        excludedNamespaces:
          - kube-system
      parameters:
        requiredDropCapabilities:
          - "NET_RAW"
    • 或者，更新您的 pod 規格： 
          # Dropping CAP_NET_RAW from a Pod:
    apiVersion: v1
    kind: Pod
    metadata:
      name: no-cap-net-raw
    spec:
      containers:
        -name: my-container
         ...
        securityContext:
          capabilities:
            drop:
              -NET_RAW

    這個修補程式修正了什麼安全漏洞？

    這個修補程式可有效降低下列安全漏洞的風險：

    安全漏洞 CVE-2020-14386 允許具有 CAP_NET_RAW 的容器寫入 1 到 10 個位元組的核心記憶體，並可能逃逸容器，取得主機節點的 Root 權限。這個安全漏洞的嚴重性為「高」。

    		 高

    GCP-2020-011

    發布日期：2020-07-24
    參考資料：CVE-2020-8558

    GKE

    說明 嚴重性

    最近在 Kubernetes 中發現網路安全漏洞 CVE-2020-8558。有時，服務會使用本機迴路介面 (127.0.0.1)，與在同一 Pod 中執行的其他應用程式通訊。攻擊者只要能存取叢集網路，就能利用這個漏洞將流量傳送至相鄰 Pod 和節點的回送介面。如果服務依賴迴路介面，且無法從 Pod 外部存取，就可能遭到濫用。

    如要在 GKE 叢集上利用這項安全漏洞，攻擊者必須在 Google Cloud 叢集 VPC 託管的叢集上，具備網路管理員權限。單憑這項安全漏洞，攻擊者無法取得網路管理員權限。因此，這個安全漏洞在 GKE 中被指派為低嚴重程度。

    該怎麼辦？

    如要修正這個安全漏洞，請將叢集的節點集區升級至下列 GKE 版本 (和後續版本)：

    • 1.17.7-gke.0
    • 1.16.11-gke.0
    • 1.16.10-gke.11
    • 1.16.9-gke.14

    這個修補程式修正了什麼安全漏洞？

    這個修補程式可修正下列安全漏洞：CVE-2020-8558。

    低

    GKE 叢集

    說明 嚴重性

    最近在 Kubernetes 中發現網路安全漏洞 CVE-2020-8558。有時，服務會使用本機迴路介面 (127.0.0.1)，與在同一 Pod 中執行的其他應用程式通訊。攻擊者只要能存取叢集網路，就能利用這個漏洞將流量傳送至相鄰 Pod 和節點的回送介面。如果服務依賴迴路介面，且無法從 Pod 外部存取，就可能遭到濫用。

    該怎麼辦？

    如要修正此安全漏洞，請升級叢集至修補版本。以下即將推出的 GKE on VMware 版本或更高版本均包含這個安全漏洞的修正措施：

    • VMware 中的 GKE 1.4.1

    這個修補程式修正了什麼安全漏洞？

    這個修補程式可修正下列安全漏洞：CVE-2020-8558。

    中

    GKE 叢集

    說明 嚴重性

    最近在 Kubernetes 中發現網路安全漏洞 CVE-2020-8558。有時，服務會使用本機迴路介面 (127.0.0.1)，與在同一 Pod 中執行的其他應用程式通訊。攻擊者只要能存取叢集網路，就能利用這個漏洞將流量傳送至相鄰 Pod 和節點的回送介面。如果服務依賴迴路介面，且無法從 Pod 外部存取，就可能遭到濫用。

    如要在使用者叢集上利用這項安全漏洞，攻擊者必須在叢集中的 EC2 執行個體上停用來源目的地檢查。這需要攻擊者具備 EC2 執行個體的 AWS IAM 權限 (ModifyInstanceAttribute 或 ModifyNetworkInterfaceAttribute)。因此，這個安全漏洞在 GKE on AWS 中被指派為「低」嚴重程度。

    該怎麼辦？

    如要修正這個安全漏洞，請將叢集升級至修補版本。以下即將推出的 GKE on AWS 版本或更高版本，預計會包含這個安全漏洞的修正措施：

    • GKE on AWS 1.4.1-gke.17

    這個修補程式修正了什麼安全漏洞？

    這個修補程式可修正下列安全漏洞：CVE-2020-8558。

    低

    GCP-2020-009

    發布日期：2020-07-15
    參考資料：CVE-2020-8559

    GKE

    說明 嚴重性

    最近在 Kubernetes 中發現權限提升漏洞 CVE-2020-8559。攻擊者只要入侵節點，就能利用這項安全漏洞在叢集中的任何 Pod 執行指令。攻擊者因此可利用已遭入侵的節點，入侵其他節點，並可能讀取資訊或造成破壞性行為。

    請注意，攻擊者必須先入侵叢集中的節點，才能利用這個安全漏洞。這個安全漏洞本身不會危害叢集中的任何節點。

    該怎麼辦？

    升級叢集至修補版本。叢集會在接下來幾週內自動升級，並於 2020 年 7 月 19 日前提供修補版本，供您加快手動升級作業。以下 GKE 控制層版本或更高版本均包含這個安全漏洞的修正措施：

    • v1.14.10-gke.46
    • v1.15.12-gke.8
    • v1.16.9-gke.11
    • v1.16.10-gke.9
    • v1.16.11-gke.3+
    • v1.17.7-gke.6+

    這個修補程式修正了什麼安全漏洞？

    這些修補程式可降低安全漏洞 CVE-2020-8559 的風險。由於攻擊者必須先取得叢集、節點和工作負載的第一手資訊，才能有效利用這項攻擊，而且還需要現有的遭入侵節點，因此 GKE 將此問題評為中等嚴重程度的安全漏洞。單憑這個安全漏洞，攻擊者無法取得遭入侵的節點。

    		 中

    GKE 叢集

    說明 嚴重性

    最近在 Kubernetes 中發現權限提升漏洞 CVE-2020-8559。攻擊者只要入侵節點，就能利用這項安全漏洞在叢集中的任何 Pod 執行指令。攻擊者因此可利用已遭入侵的節點，入侵其他節點，並可能讀取資訊或造成破壞性行為。

    請注意，攻擊者必須先入侵叢集中的節點，才能利用這個安全漏洞。這個安全漏洞本身不會危害叢集中的任何節點。

    該怎麼辦？

    升級叢集至修補版本。以下即將推出的 GKE on VMware 版本或更高版本均包含這個安全漏洞的修正措施：

    • Anthos 1.3.3
    • Anthos 1.4.1

    這個修補程式修正了什麼安全漏洞？

    這些修補程式可降低安全漏洞 CVE-2020-8559 的風險。由於攻擊者必須先取得叢集、節點和工作負載的第一手資訊，才能有效利用這項攻擊，而且還需要現有的遭入侵節點，因此 GKE 將此問題評為中等嚴重程度的安全漏洞。單憑這個安全漏洞，攻擊者無法取得遭入侵的節點。

    		 中

    GKE 叢集

    說明 嚴重性

    最近在 Kubernetes 中發現權限提升漏洞 CVE-2020-8559。攻擊者只要入侵節點，就能利用這項安全漏洞在叢集中的任何 Pod 執行指令。攻擊者因此可利用已遭入侵的節點，入侵其他節點，並可能讀取資訊或造成破壞性行為。

    請注意，攻擊者必須先入侵叢集中的節點，才能利用這個安全漏洞。這個安全漏洞本身不會危害叢集中的任何節點。

    該怎麼辦？

    GKE on AWS 正式版 (1.4.1，2020 年 7 月底推出) 或更新版本包含此安全漏洞的修補程式。如果您使用舊版，請下載新版 anthos-gke 指令列工具，然後重新建立管理和使用者叢集。

    這個修補程式修正了什麼安全漏洞？

    這些修補程式可降低安全漏洞 CVE-2020-8559 的風險。由於攻擊者必須先取得叢集、節點和工作負載的第一手資訊，才能有效利用這項攻擊，而且還需要現有的遭入侵節點，因此 GKE 將此問題評為中等嚴重程度的安全漏洞。單憑這個安全漏洞，攻擊者無法取得遭入侵的節點。

    		 中

    GCP-2020-007

    發布日期：2020-06-01
    參考資料：CVE-2020-8555

    GKE

    說明 嚴重性

    最近在 Kubernetes 中發現伺服器端偽造要求 (SSRF) 安全漏洞 CVE-2020-8555。這項漏洞會讓某些授權使用者將機密資訊 (最多 500 個位元組) 從控制層主機網路外流出去。由於 Google Kubernetes Engine (GKE) 控制層使用 Kubernetes 中的控制器，因此會受到這個安全漏洞影響。 建議您按照下列步驟操作，將控制層升級至最新修補程式版本。節點則無須升級。

    該怎麼辦？

    大多數的客戶無須採取進一步行動，大多數的叢集早已執行修補版本。以下 GKE 版本或更高版本均包含這個安全漏洞的修正措施：
    • 1.14.7-gke.39
    • 1.14.8-gke.32
    • 1.14.9-gke.17
    • 1.14.10-gke.12
    • 1.15.7-gke.17
    • 1.16.4-gke.21
    • 1.17.0-gke.0

    使用發布版本的叢集都已執行具有因應措施的控制層版本。

    這個修補程式修正了什麼安全漏洞？

    這些修補程式可降低安全漏洞 CVE-2020-8555 的風險。這個安全漏洞對於 GKE 的嚴重性為「中」，因為有各種控制層強化措施，所以不易進行漏洞攻擊。

    攻擊者若取得相關權限而獲准建立具有特定內建磁碟區類型 (GlusterFS、Quobyte、StorageFS, ScaleIO) 的 pod 或 StorageClass，即便「沒有」控制要求主體，也可以透過主要執行個體的主機網路促使 kube-controller-manager 發出 GET 要求或 POST 要求。這些磁碟區類型很少在 GKE 上使用，所以如果發現陌生使用者使用這些磁碟區類型，可以視為有用的偵測訊號。

    如果這類攻擊手段配合可將 GET/POST 的結果洩漏給攻擊者的途徑，例如透過記錄檔，就可能導致機密資訊外洩。因此，我們更新了相關的儲存空間驅動程式，以防止這類資料外洩的可能性。

    		 中

    GKE 叢集

    說明 嚴重性

    最近在 Kubernetes 中發現伺服器端偽造要求 (SSRF) 安全漏洞 CVE-2020-8555。這項漏洞會讓某些授權使用者將機密資訊 (最多 500 個位元組) 從控制層主機網路外流出去。由於 Google Kubernetes Engine (GKE) 控制層使用 Kubernetes 中的控制器，因此會受到這個安全漏洞影響。 建議您按照下列步驟操作，將控制層升級至最新修補程式版本。節點則無須升級。

    該怎麼辦？

    以下 GKE on VMware 版本或更高版本均包含這個安全漏洞的修正措施：

    • Anthos 1.3.0

    如果您使用的是舊版，請升級現有叢集至含有修正程式的版本。

    這個修補程式修正了什麼安全漏洞？

    這些修補程式可降低安全漏洞 CVE-2020-8555 的風險。這個安全漏洞對於 GKE 的嚴重性為「中」，因為有各種控制層強化措施，所以不易進行漏洞攻擊。

    攻擊者若取得相關權限而獲准建立具有特定內建磁碟區類型 (GlusterFS、Quobyte、StorageFS, ScaleIO) 的 pod 或 StorageClass，即便「沒有」控制要求主體，也可以透過主要執行個體的主機網路促使 kube-controller-manager 發出 GET 要求或 POST 要求。這些磁碟區類型很少在 GKE 上使用，所以如果發現陌生使用者使用這些磁碟區類型，可以視為有用的偵測訊號。

    如果這類攻擊手段配合可將 GET/POST 的結果洩漏給攻擊者的途徑，例如透過記錄檔，就可能導致機密資訊外洩。因此，我們更新了相關的儲存空間驅動程式，以防止這類資料外洩的可能性。

    		 中

    GKE 叢集

    說明 嚴重性

    最近在 Kubernetes 中發現伺服器端偽造要求 (SSRF) 安全漏洞 CVE-2020-8555。這項漏洞會讓某些授權使用者將機密資訊 (最多 500 個位元組) 從控制層主機網路外流出去。由於 Google Kubernetes Engine (GKE) 控制層使用 Kubernetes 中的控制器，因此會受到這個安全漏洞影響。 建議您按照下列步驟操作，將控制層升級至最新修補程式版本。節點則無須升級。

    該怎麼辦？

    GKE on AWS v0.2.0 以上版本已包含此安全漏洞的修補程式。如果您使用舊版，請下載新版 anthos-gke 指令列工具，然後重新建立管理和使用者叢集。

    這個修補程式修正了什麼安全漏洞？

    這些修補程式可降低安全漏洞 CVE-2020-8555 的風險。這個安全漏洞對於 GKE 的嚴重性為「中」，因為有各種控制層強化措施，所以不易進行漏洞攻擊。

    攻擊者若取得相關權限而獲准建立具有特定內建磁碟區類型 (GlusterFS、Quobyte、StorageFS, ScaleIO) 的 pod 或 StorageClass，即便「沒有」控制要求主體，也可以透過主要執行個體的主機網路促使 kube-controller-manager 發出 GET 要求或 POST 要求。這些磁碟區類型很少在 GKE 上使用，所以如果發現陌生使用者使用這些磁碟區類型，可以視為有用的偵測訊號。

    如果這類攻擊手段配合可將 GET/POST 的結果洩漏給攻擊者的途徑，例如透過記錄檔，就可能導致機密資訊外洩。因此，我們更新了相關的儲存空間驅動程式，以防止這類資料外洩的可能性。

    		 中

    GCP-2020-006

    發布日期：2020-06-01
    參考資料：Kubernetes 問題 91507

    GKE

    說明 嚴重性

    Kubernetes 已揭露一項安全漏洞。這項漏洞會讓有權限的容器將節點流量重新導向至另一個容器。這類攻擊無法讀取或修改雙向 TLS/SSH 流量 (例如在 kubelet 和 API 伺服器之間) 或來自採用 mTLS 的應用程式的流量。所有 Google Kubernetes Engine (GKE) 節點都會受到這個安全漏洞的影響，建議您按照下列步驟操作，升級至最新的修補程式版本。

    該怎麼辦？

    為了降低這個安全漏洞的風險，請升級您的控制層，接著將節點升級至下列修補版本之一。使用發布版本的叢集已在控制層和節點上執行修補版本：
    • 1.14.10-gke.36
    • 1.15.11-gke.15
    • 1.16.8-gke.15

    一般來說，極少容器需要使用 CAP_NET_RAW。依據預設，系統應該會透過 PodSecurityPolicy 或 Anthos Policy Controller 封鎖這項功能及其他強大的功能：

    如要從容器捨棄 CAP_NET_RAW 功能，請選擇下列其中一種做法：

    • 使用 PodSecurityPolicy 強制封鎖這些功能，例如： 
          # Require dropping CAP_NET_RAW with a PSP
    apiversion: extensions/v1beta1
    kind: PodSecurityPolicy
    metadata:
      name: no-cap-net-raw
    spec:
      requiredDropCapabilities:
        -NET_RAW
         ...
         # Unrelated fields omitted
    • 或者，使用 Policy Controller 或 Gatekeeper 搭配這個限制範本，然後套用，例如： 
          # Dropping CAP_NET_RAW with Gatekeeper
    # (requires the K8sPSPCapabilities template)
    apiversion: constraints.gatekeeper.sh/v1beta1
    kind:  K8sPSPCapabilities
    metadata:
      name: forbid-cap-net-raw
    spec:
      match:
        kinds:
          - apiGroups: [""]
          kinds: ["Pod"]
        namespaces:
          #List of namespaces to enforce this constraint on
          - default
        # If running gatekeeper >= v3.1.0-beta.5,
        # you can exclude namespaces rather than including them above.
        excludedNamespaces:
          - kube-system
      parameters:
        requiredDropCapabilities:
          - "NET_RAW"
    • 或者，更新您的 pod 規格： 
          # Dropping CAP_NET_RAW from a Pod:
    apiVersion: v1
    kind: Pod
    metadata:
      name: no-cap-net-raw
    spec:
      containers:
        -name: my-container
         ...
        securityContext:
          capabilities:
            drop:
              -NET_RAW

    這個修補程式修正了什麼安全漏洞？

    這個修補程式可有效降低下列安全漏洞的風險：

    Kubernetes 問題 91507 CAP_NET_RAW 功能 (其包含在預設容器功能集) 中所述的安全漏洞，會在節點上惡意設定 IPv6 堆疊，並將節點流量重新導向至攻擊者控制的容器，讓攻擊者可攔截/修改來自節點的流量或預定送至節點的流量。這類攻擊無法讀取或修改雙向 TLS/SSH 流量 (例如在 kubelet 和 API 伺服器之間) 或來自採用 mTLS 的應用程式的流量。

    		 中

    GKE 叢集

    說明 嚴重性

    Kubernetes 已揭露一項安全漏洞。這項漏洞會讓有權限的容器將節點流量重新導向至另一個容器。這類攻擊無法讀取或修改雙向 TLS/SSH 流量 (例如在 kubelet 和 API 伺服器之間) 或來自採用 mTLS 的應用程式的流量。所有 Google Kubernetes Engine (GKE) 節點都會受到這個安全漏洞的影響，建議您按照下列步驟操作，升級至最新的修補程式版本。

    該怎麼辦？

    如要防範 GKE on VMware 發生這個安全漏洞，請升級叢集至下列版本或更新版本：
    • Anthos 1.3.2

    一般來說，極少容器需要使用 CAP_NET_RAW。依據預設，系統應該會透過 Anthos Policy Controller 封鎖這項功能及其他強大的功能，或者更新 Pod 規格：

    如要從容器捨棄 CAP_NET_RAW 功能，請選擇下列其中一種做法：

    • 使用 PodSecurityPolicy 強制封鎖這些功能，例如： 
          # Require dropping CAP_NET_RAW with a PSP
    apiversion: extensions/v1beta1
    kind: PodSecurityPolicy
    metadata:
      name: no-cap-net-raw
    spec:
      requiredDropCapabilities:
        -NET_RAW
         ...
         # Unrelated fields omitted
    • 或者，使用 Policy Controller 或 Gatekeeper 搭配這個限制範本，然後套用，例如： 
          # Dropping CAP_NET_RAW with Gatekeeper
    # (requires the K8sPSPCapabilities template)
    apiversion: constraints.gatekeeper.sh/v1beta1
    kind:  K8sPSPCapabilities
    metadata:
      name: forbid-cap-net-raw
    spec:
      match:
        kinds:
          - apiGroups: [""]
          kinds: ["Pod"]
        namespaces:
          #List of namespaces to enforce this constraint on
          - default
        # If running gatekeeper >= v3.1.0-beta.5,
        # you can exclude namespaces rather than including them above.
        excludedNamespaces:
          - kube-system
      parameters:
        requiredDropCapabilities:
          - "NET_RAW"
    • 或者，更新您的 pod 規格： 
          # Dropping CAP_NET_RAW from a Pod:
    apiVersion: v1
    kind: Pod
    metadata:
      name: no-cap-net-raw
    spec:
      containers:
        -name: my-container
         ...
        securityContext:
          capabilities:
            drop:
              -NET_RAW

    這個修補程式修正了什麼安全漏洞？

    這個修補程式可有效降低下列安全漏洞的風險：

    Kubernetes 問題 91507 CAP_NET_RAW 功能 (其包含在預設容器功能集) 中所述的安全漏洞，會在節點上惡意設定 IPv6 堆疊，並將節點流量重新導向至攻擊者控制的容器，讓攻擊者可攔截/修改來自節點的流量或預定送至節點的流量。這類攻擊無法讀取或修改雙向 TLS/SSH 流量 (例如在 kubelet 和 API 伺服器之間) 或來自採用 mTLS 的應用程式的流量。

    		 中

    GKE 叢集

    說明 嚴重性

    Kubernetes 已揭露一項安全漏洞。這項漏洞會讓有權限的容器將節點流量重新導向至另一個容器。這類攻擊無法讀取或修改雙向 TLS/SSH 流量 (例如在 kubelet 和 API 伺服器之間) 或來自採用 mTLS 的應用程式的流量。所有 Google Kubernetes Engine (GKE) 節點都會受到這個安全漏洞的影響，建議您按照下列步驟操作，升級至最新的修補程式版本。

    該怎麼辦？

    下載 anthos-gke 指令列工具，版本須為下列版本或更新版本，然後重新建立管理和使用者叢集：

    • aws-0.2.1-gke.7

    一般來說，極少容器需要使用 CAP_NET_RAW。依據預設，系統應該會透過 Anthos Policy Controller 封鎖這項功能及其他強大的功能，或者更新 Pod 規格：

    如要從容器捨棄 CAP_NET_RAW 功能，請選擇下列其中一種做法：

    • 使用 PodSecurityPolicy 強制封鎖這些功能，例如： 
          # Require dropping CAP_NET_RAW with a PSP
    apiversion: extensions/v1beta1
    kind: PodSecurityPolicy
    metadata:
      name: no-cap-net-raw
    spec:
      requiredDropCapabilities:
        -NET_RAW
         ...
         # Unrelated fields omitted
    • 或者，使用 Policy Controller 或 Gatekeeper 搭配這個限制範本，然後套用，例如： 
          # Dropping CAP_NET_RAW with Gatekeeper
    # (requires the K8sPSPCapabilities template)
    apiversion: constraints.gatekeeper.sh/v1beta1
    kind:  K8sPSPCapabilities
    metadata:
      name: forbid-cap-net-raw
    spec:
      match:
        kinds:
          - apiGroups: [""]
          kinds: ["Pod"]
        namespaces:
          #List of namespaces to enforce this constraint on
          - default
        # If running gatekeeper >= v3.1.0-beta.5,
        # you can exclude namespaces rather than including them above.
        excludedNamespaces:
          - kube-system
      parameters:
        requiredDropCapabilities:
          - "NET_RAW"
    • 或者，更新您的 pod 規格： 
          # Dropping CAP_NET_RAW from a Pod:
    apiVersion: v1
    kind: Pod
    metadata:
      name: no-cap-net-raw
    spec:
      containers:
        -name: my-container
         ...
        securityContext:
          capabilities:
            drop:
              -NET_RAW

    這個修補程式修正了什麼安全漏洞？

    這個修補程式可有效降低下列安全漏洞的風險：

    Kubernetes 問題 91507 CAP_NET_RAW 功能 (其包含在預設容器功能集) 中所述的安全漏洞，會在節點上惡意設定 IPv6 堆疊，並將節點流量重新導向至攻擊者控制的容器，讓攻擊者可攔截/修改來自節點的流量或預定送至節點的流量。這類攻擊無法讀取或修改雙向 TLS/SSH 流量 (例如在 kubelet 和 API 伺服器之間) 或來自採用 mTLS 的應用程式的流量。

    		 中

    GCP-2020-005

    發布日期：2020-05-07
    更新日期：2020-05-07
    參考資料：CVE-2020-8835

    GKE

    說明 嚴重性

    最近在 Linux 核心發現一個安全漏洞 (請參考 CVE-2020-8835 中的說明)。這項漏洞會允許濫用容器逃逸，並獲得主機節點上的 Root 權限。

    執行 GKE 1.16 或 1.17 的 Google Kubernetes Engine (GKE) Ubuntu 節點會受到這個安全漏洞的影響，建議您參考以下詳細說明，盡快升級至最新的修補程式版本。

    執行 Container-Optimized OS 的節點不受影響，在 GKE on VMware 上運作的節點不受影響。

    該怎麼辦？

    大多數的客戶無須採取進一步行動，只有在 GKE 版本 1.16 或 1.17 中執行 Ubuntu 的節點受到影響。

    如要升級節點，您必須先將主要執行個體升級至最新版本。Kubernetes 1.16.8-gke.12、1.17.4-gke.10 及更高版本均包含了這個修補程式。您可以從版本資訊中得知該版本是否提供這些修補程式。

    這個修補程式修正了什麼安全漏洞？

    這個修補程式可有效降低下列安全漏洞的風險：

    CVE-2020-8835 說明 Linux 核心版本 5.5.0 及更高版本中存在一個安全漏洞。這項漏洞會將使用者以 exec 形式操作的機率降至最低，允許惡意容器讀取和寫入核心記憶體，藉此在主機節點上執行根層級程式碼。這個安全漏洞的嚴重性為「高」。

    		 高

    GCP-2020-004

    發布日期：2020-05-07
    更新日期：2020-05-07
    參考資料：CVE-2019-11254

    GKE 叢集

    說明 嚴重性

    最近在 Kubernetes 中發現一個安全漏洞 (請參考 CVE-2019-11254 中的說明)。這項漏洞會允許任何經授權可進行 POST 要求的使用者在 Kubernetes API 伺服器上執行遠端阻斷服務攻擊。您可以在這裡找到 Kubernetes Product Security Committee (PSC) 發布的相關安全漏洞資訊。

    如要減輕這個安全漏洞的影響，請限制哪些用戶端可透過網路存取 Kubernetes API 伺服器。

    該怎麼辦？

    建議您在包含這個安全漏洞修正措施的修補程式版本發布後，立即升級叢集。

    下列為包含修正措施的修補程式版本：

    • Anthos 1.3.0，執行 Kubernetes 1.15.7-gke.32 版

    這個修補程式修正了哪些安全漏洞？

    它可修正下列阻斷服務 (DoS) 安全漏洞：

    CVE-2019-11254。

    		中

    GCP-2020-003

    發布日期：2020-03-31
    更新日期：2020-03-31
    參考資料：CVE-2019-11254

    GKE

    說明 嚴重性

    最近在 Kubernetes 中發現一個安全漏洞 (請參考 CVE-2019-11254 中的說明)。這項漏洞會允許任何經授權可進行 POST 要求的使用者在 Kubernetes API 伺服器上執行遠端阻斷服務攻擊。您可以在這裡找到 Kubernetes Product Security Committee (PSC) 發布的相關安全漏洞資訊。

    無論是使用主要授權網路的 GKE 叢集或是無公開端點的私人叢集，都可以有效降低這個安全漏洞的風險。

    該如何解決這個問題？

    建議您將叢集升級至包含這個安全漏洞修正措施的修補程式版本。

    下列為包含修正措施的修補程式版本：

    • 1.13.12-gke.29
    • 1.14.9-gke.27
    • 1.14.10-gke.24
    • 1.15.9-gke.20
    • 1.16.6-gke.1

    這個修補程式修正了哪些安全漏洞？

    它可修正下列阻斷服務 (DoS) 安全漏洞：

    CVE-2019-11254。

    		中

    GCP-2020-002

    發布日期：2020-03-23
    更新日期：2020-03-23
    參考資料：CVE-2020-8551、 CVE-2020-8552

    GKE

    說明 嚴重性

    Kubernetes 已揭露兩個阻斷服務安全漏洞，其中一個會影響 API 伺服器，另一個會影響 Kubelet。詳情請參閱 Kubernetes 問題：89377 和 89378。

    該怎麼辦？

    所有 GKE 使用者都不會受到 CVE-2020-8551 的影響，除非未受信任的使用者可以在叢集內部網路傳送要求。使用主要授權網路也能有效降低 CVE-2020-8552 的安全風險。

    這些安全漏洞何時可以得到修補？

    要修補 CVE-2020-8551 安全漏洞，您必須進行節點升級。以下是包含因應措施的修補程式版本：

    • 1.15.10-gke.*
    • 1.16.7-gke.*

    要修補 CVE-2020-8552 安全漏洞，您必須進行主要執行個體升級。以下是包含因應措施的修補程式版本：

    • 1.14.10-gke.32
    • 1.15.10-gke.*
    • 1.16.7-gke.*
    		 中

    GCP-january_21_2020

    發布日期：2020-01-21
    更新日期：2020-01-24
    參考資料：CVE-2019-11254

    GKE

    說明 嚴重性

    2020 年 1 月 24 日更新：提供可用修補版本的程序正在制訂中，預計在 2020 年 1 月 25 日完成。

    Microsoft 已揭露 Windows Crypto API 及其橢圓曲線簽章的驗證機制存在安全漏洞。詳情請參閱 Microsoft 公告事項。

    該如何解決這個問題？

    大多數的客戶無須採取進一步行動，只有執行 Windows Server 的節點受到影響。

    使用 Windows Server 節點的客戶，不論是節點本身，或是這些節點所處理的容器化工作負載，都必須更新到已修補的版本，才能降低這項安全漏洞的風險。

    如何更新容器：

    使用 Microsoft 最新的基本容器映像檔 (選擇上次更新時間為 2020 年 1 月 14 日或之後的 servercore 或 nanoserver 標記)，來重建容器。

    如何更新節點：

    提供可用修補版本的程序正在制訂中，預計在 2020 年 1 月 24 日完成。

    您可以選擇屆時再將節點升級為修補 GKE 版本，也可以隨時使用 Windows Update 手動部署最新的 Windows 修補程式。

    下列修補程式版本將包含因應措施：

    • 1.14.7-gke.40
    • 1.14.8-gke.33
    • 1.14.9-gke.23
    • 1.14.10-gke.17
    • 1.15.7-gke.23
    • 1.16.4-gke.22

    這個修補程式修正了哪些安全漏洞？

    這個修補程式可有效降低下列安全漏洞的風險：

    CVE-2020-0601 - 這項安全漏洞也稱為 Windows Crypto API 假冒安全漏洞，可能被利用來製作看起來可信的惡意執行檔，或讓攻擊者進行中間人攻擊，並透過與受影響軟體的 TLS 連線破解機密資訊。

    NVD 基礎分數：8.1 (高)

    封存的安全性公告

    如要查看 2020 年以前的安全性公告，請參閱安全性公告封存檔。