漏洞描述:
Rancher Kubernetes Engine中存在一个敏感信息存储不当漏洞,该漏洞允许攻击者获取RKE集群的API服务器证书和密钥,该漏洞的根本原因是RKE将敏感凭据存储在集群命名空间kube-system中调用的ConfigMap中,ConfigMap是一种用于存储和管理Kubernetes配置数据的资源,默认情况下,ConfigMap中的数据是可读的,这意味着任何具有访问集群API 服务器权限的用户都可以读取ConfigMap中的数据。

修复建议:
正式防护方案:
为了修复此漏洞,RKE 用户必须升级到以下修补版本:
RKE >= 1.4.19

RKE >= 1.5.10

Rancher >= 2.7.14

Rancher >= 2.8.5

下载链接:
https://github.com/rancher/rke/releases

https://github.com/rancher/rancher/releases