官方 CVE Feed
功能状态：
Kubernetes v1.27 [beta]这是 Kubernetes 安全响应委员会宣布的官方 CVE 的社区维护列表。有关更多详细信息，请参阅 Kubernetes 安全和披露信息。
Kubernetes 项目发布了一个可通过编程访问的已发布安全问题提要，格式为 JSON 提要 和 RSS 提要。您可以通过执行以下命令来访问它
curl -Lv https://k8s.io/docs/reference/issues-security/official-cve-feed/index.json
curl -Lv https://k8s.io/docs/reference/issues-security/official-cve-feed/feed.xml
| CVE ID | 问题摘要 | CVE GitHub 问题 URL |
|---|---|---|
| CVE-2024-3744 | azure-file-csi-driver 在日志中泄露服务帐户令牌 | #124759 |
| CVE-2024-3177 | 绕过 ServiceAccount 准入插件施加的可装载密钥策略 | #124336 |
| CVE-2023-5528 | 树内存储插件输入清理不足，导致 Windows 节点上的权限提升 | #121879 |
| CVE-2023-3955 | Windows 节点上输入清理不足，导致权限提升 | #119595 |
| CVE-2023-3893 | kubernetes-csi-proxy 输入清理不足，导致权限提升 | #119594 |
| CVE-2023-3676 | Windows 节点上输入清理不足，导致权限提升 | #119339 |
| CVE-2023-2431 | 绕过 seccomp 配置文件强制执行 | #118690 |
| CVE-2023-2728 | 绕过 ImagePolicyWebhook 施加的策略，并绕过 ServiceAccount 准入插件施加的可装载密钥策略 | #118640 |
| CVE-2023-2727 | 绕过 ImagePolicyWebhook 施加的策略，并绕过 ServiceAccount 准入插件施加的可装载密钥策略 | #118640 |
| CVE-2023-2878 | secrets-store-csi-driver 在日志中泄露服务帐户令牌 | #118419 |
| CVE-2022-3294 | 代理时并不总是验证节点地址 | #113757 |
| CVE-2022-3162 | 未经授权读取自定义资源 | #113756 |
| CVE-2022-3172 | 聚合 API 服务器可能导致客户端被重定向（SSRF） | #112513 |
| CVE-2021-25749 | Windows 容器的 `runAsNonRoot` 逻辑绕过 | #112192 |
| CVE-2021-25741 | 符号链接交换可以允许访问主机文件系统 | #104980 |
| CVE-2021-25737 | EndpointSlice 验证中的漏洞使主机网络劫持成为可能 | #102106 |
| CVE-2021-3121 | 收到恶意 protobuf 消息时，进程可能会崩溃 | #101435 |
| CVE-2021-25735 | 验证准入 Webhook 不会观察到某些以前的字段 | #100096 |
| CVE-2020-8554 | 使用负载均衡器或 ExternalIP 的中间人 | #97076 |
| CVE-2020-8566 | 当 loglevel >= 4 时，Ceph RBD adminSecrets 在日志中公开 | #95624 |
| CVE-2020-8565 | CVE-2019-11250 的不完整修复允许在 logLevel >= 9 时在日志中泄露令牌 | #95623 |
| CVE-2020-8564 | 当文件格式错误且日志级别 >= 4 时，Docker 配置机密泄露 | #95622 |
| CVE-2020-8563 | 在使用 vSphere 提供程序时，kube-controller-manager 中的机密泄露 | #95621 |
| CVE-2020-8557 | 通过写入容器 /etc/hosts 来进行节点磁盘 DOS | #93032 |
| CVE-2020-8559 | 从受损节点到集群的特权升级 | #92914 |
| CVE-2020-8558 | 节点设置允许相邻主机绕过 localhost 边界 | #92315 |
| CVE-2020-8555 | kube-controller-manager 中的半盲 SSRF | #91542 |
| CVE-2020-10749 | 仅 IPv4 的集群容易受到通过 IPv6 流氓路由器通告进行的 MitM 攻击 | #91507 |
| CVE-2019-11254 | kube-apiserver 拒绝服务漏洞，来自恶意 YAML 有效负载 | #89535 |
| CVE-2020-8552 | apiserver DoS (oom) | #89378 |
| CVE-2020-8551 | 通过 API 进行 Kubelet DoS | #89377 |
| CVE-2019-11251 | kubectl cp 符号链接漏洞 | #87773 |
| CVE-2018-1002102 | 未验证的重定向 | #85867 |
| CVE-2019-11255 | CSI 卷快照、克隆和调整大小功能可能导致未经授权的卷数据访问或变异 | #85233 |
| CVE-2019-11253 | Kubernetes API 服务器 JSON/YAML 解析容易受到资源耗尽攻击 | #83253 |
| CVE-2019-11250 | 载体令牌在日志中显示 | #81114 |
| CVE-2019-11248 | /debug/pprof 在 kubelet 的 healthz 端口上公开 | #81023 |
| CVE-2019-11249 | CVE-2019-1002101 和 CVE-2019-11246 的不完整修复，kubectl cp 潜在目录遍历 | #80984 |
| CVE-2019-11247 | API 服务器允许通过错误的范围访问自定义资源 | #80983 |
| CVE-2019-11245 | 第一次重启后或如果图像已拉取到节点，容器 uid 更改为 root | #78308 |
| CVE-2019-11243 | rest.AnonymousClientConfig() 不会从 rest.InClusterConfig() 创建的配置中删除服务帐户凭据 | #76797 |
| CVE-2019-11244 | `kubectl:-http-cache=<world-accessible dir>` 创建可世界写入的缓存模式文件 | #76676 |
| CVE-2019-1002100 | json-patch 请求可能耗尽 apiserver 资源 | #74534 |
| CVE-2018-1002105 | kube-apiserver 中的代理请求处理可能会留下易受攻击的 TCP 连接 | #71411 |
| CVE-2018-1002101 | smb 挂载安全问题 | #65750 |
| CVE-2018-1002100 | Kubectl 复制不会检查其目标目录之外的路径。 | #61297 |
| CVE-2017-1002102 | 原子写入器卷处理允许在主机文件系统中任意删除文件 | #60814 |
| CVE-2017-1002101 | 子路径卷挂载处理允许在主机文件系统中任意访问文件 | #60813 |
| CVE-2017-1002100 | Azure PV 应该是私有范围，而不是容器范围 | #47611 |
| CVE-2017-1000056 | PodSecurityPolicy 准入插件授权不正确 | #43459 |
此提要会自动刷新，从宣布 CVE 到此提要中可访问该 CVE 之间存在明显但很小的延迟（几分钟到几小时）。
此信息源的真实性来源是一组 GitHub 问题，由受控且受限的标签 official-cve-feed 过滤。原始数据存储在 Google Cloud Bucket 中，只有社区中少数受信任的成员才能写入。
上次修改时间：2023 年 4 月 11 日，下午 7:18 PST：从 alpha 切换到 beta (ec9d29c0df)