Уязвимости Kubernetes: CVE, БДУ ФСТЭК и мониторинг
Уязвимости Kubernetes из реестра БДУ ФСТЭК: 199 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости Kubernetes из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 199.
Уязвимость инструмента для запуска изолированных контейнеров runc, связанная с ошибками обработки файлового дескриптора, позволяющая нарушителю выполнить произвольный код
Уязвимость программного средства управления кластерами виртуальных машин Kubernetes, связанная с некорректной обработкой ошибок, позволяющая нарушителю повысить свои привилегии
Уязвимость реализации сценария c_rehash библиотеки OpenSSL, позволяющая нарушителю выполнять произвольные команды
Уязвимость функции BN_mod_sqrt() библиотеки OpenSSL, позволяющая нарушителю вызвать отказ в обслуживании
Уязвимость объекта Error.prepareStackTrace библиотеки vm2 пакетного менеджера NPM, позволяющая нарушителю выйти из изолированной программной среды и выполнить произвольный код
Уязвимость компонента nginx.ingress.kubernetes.io/permanent-redirect контроллера входящего трафика в кластере Kubernetes ingress-nginx, позволяющая нарушителю выполнить произвольные команды
Уязвимость библиотеки синтаксического анализатора YAML программного средства управления кластерами виртуальных машин Kubernetes, позволяющая нарушителю вызвать отказ в обслуживании
Уязвимость программного обеспечения развертывания и управления конфиденциальными контейнерами Azure Kubernetes Service Confidential Containers, связанная с недостатками контроля доступа, позволяющая н
Уязвимость программного средства управления кластерами виртуальных машин Kubernetes, связанная с неконтролируемым расходом ресурса, позволяющая нарушителю вызвать отказ в обслуживании
Уязвимость модуля pod программного средства управления кластерами виртуальных машин Kubernetes, позволяющая нарушителю повысить свои привилегии
Почему важно отслеживать уязвимости Kubernetes
Kubernetes — стандарт оркестрации контейнеров, но его сложная архитектура (API Server, etcd, kubelet, kube-proxy) создаёт множество векторов атаки. Типовые уязвимости: обход RBAC-авторизации, побег из pod через volume mounts, эксплуатация уязвимых sidecar-контейнеров. CVE в Kubernetes часто имеют высокий CVSS из-за потенциального захвата всего кластера. Для Kubernetes-кластеров, обслуживающих КИИ-приложения, мониторинг CVE через БДУ ФСТЭК дополняет стандартные практики: CIS Benchmarks, Pod Security Standards, Network Policies.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей Kubernetes
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
