注目★★★★★GitHub Advisory
etcd の TLS リスナーにメモリ枯渇の脆弱性、無限ゴルーチン生成
30秒で把握
- 1etcd の TLS リスナーが ClientHello なし TCP で無限ゴルーチン生成、メモリ枯渇
- 2Kubernetes コントロールプレーン可用性が失われる可能性・ネットワーク攻撃者から直接到達可能
- 33.7.1 / 3.6.14 / 3.5.33 以上へのアップグレード・または etcd ポートのネットワークアクセス制限を実施
要約
etcd の TLS リスナーに、ネットワーク攻撃者が多数の TCP 接続を開きながら ClientHello を送らないことで、メモリを枯渇させられる脆弱性が存在する。各接続が etcd サーバープロセスで無制限にゴルーチンを生成し、tls.Conn.Handshake() 内で無期限にブロックされるため、etcd クラスタの可用性が失われ、etcd が Kubernetes をバックするときはコントロールプレーンも影響を受ける。修正版は etcd 3.7.1、3.6.14、3.5.33 で公開されている。アップグレード前は、ファイアウォール規則またはネットワークポリシーでクライアント (gRPC) ポートへのアクセスを制限することで対策可能。
あなたへの影響
この記事が日本のエンジニアに与える影響と、今日取るべきアクションは、Personal会員向けに掲載しています。
クレカ不要・いつでも解約