Todos os nós do Google Kubernetes Engine (GKE) nos quais o Docker é executado são afetados por essa vulnerabilidade. É recomendável fazer upgrade para a versão de patch mais recente assim que estiver disponível. Uma futura versão de patch incluirá uma mitigação dessa vulnerabilidade.
Todos os mestres do Google Kubernetes Engine (GKE) anteriores à versão 1.12.7 executam o Docker e são afetados por essa vulnerabilidade. No GKE, os usuários não têm acesso à operação docker cp no mestre. Portanto, o risco dessa vulnerabilidade para mestres do GKE é limitado.
Apenas os nós com o Docker em execução são afetados, e somente quando for emitido um comando docker cp (ou equivalente da API) que possa ser invadido. Espera-se que isso seja bastante incomum em um ambiente do Kubernetes. Nós com o Container-Optimized OS com containerd em execução não são afetados.
Para fazer o upgrade dos nós, primeiro é necessário fazer upgrade do mestre para a versão com patch. Quando o patch estiver disponível, será possível iniciar o upgrade do mestre ou esperar que o Google faça o upgrade automaticamente. O patch estará disponível no Docker 18.09.7, que será incluído em um futuro patch do GKE. Esse patch será disponibilizado apenas para as versões 1.13 e mais recentes do GKE.
Faremos upgrade automático dos mestres do cluster para a versão com patch no ritmo normal de upgrades. Também é possível iniciar o upgrade de um mestre por conta própria depois que a versão com patch estiver disponível.
Este boletim será atualizado com as versões com patch assim que estiverem disponíveis. Acompanhe a disponibilidade desses patches nas notas de lançamento.
A vulnerabilidade CVE-2018-15664 possibilita que um invasor capaz de executar um código dentro de um contêiner invada uma operação docker cp iniciada externamente. Essa exploração permite que um invasor altere o local onde um arquivo está sendo gravado para um local arbitrário no sistema de arquivos do host.
No momento da publicação do boletim inicial, apenas as versões de 1.13.6-gke.0 a 1.13.6-gke.5 foram impactadas. Devido a uma regressão, todas as versões 1.13.6.x foram afetadas agora. Se você tiver a versão 1.13.6, faça o upgrade para a 1.13.7 o mais rápido possível.
O projeto Kubernetes divulgou a vulnerabilidade CVE-2019-11245 (em inglês) no kubelet v1.13.6 e v1.14.2. Ela pode fazer os contêineres funcionarem como UID 0 (normalmente associado ao usuário root), mesmo que um usuário diferente seja especificado na imagem do contêiner. Se os contêineres funcionam como um usuário não raiz e você está executando uma versão de nó entre a 1.13.6-gke.0 e a 1.13.6-gke.6, é recomendável configurar RunAsUser em todos os pods no cluster cujos contêineres não deveriam funcionar como UID 0.