注目★★★★★GitHub Advisory
etcd の TLS リスナーにメモリ枯渇の脆弱性、無限ゴルーチン生成
30秒で把握
- 1etcd の TLS リスナーが ClientHello なし TCP で無限ゴルーチン生成、メモリ枯渇
- 2Kubernetes コントロールプレーン可用性が失われる可能性・ネットワーク攻撃者から直接到達可能
- 33.7.1 / 3.6.14 / 3.5.33 以上へのアップグレード・または etcd ポートのネットワークアクセス制限を実施
要約
etcd の TLS リスナーに、ネットワーク攻撃者が多数の TCP 接続を開きながら ClientHello を送らないことで、メモリを枯渇させられる脆弱性が存在する。各接続が etcd サーバープロセスで無制限にゴルーチンを生成し、tls.Conn.Handshake() 内で無期限にブロックされるため、etcd クラスタの可用性が失われ、etcd が Kubernetes をバックするときはコントロールプレーンも影響を受ける。修正版は etcd 3.7.1、3.6.14、3.5.33 で公開されている。アップグレード前は、ファイアウォール規則またはネットワークポリシーでクライアント (gRPC) ポートへのアクセスを制限することで対策可能。
あなたへの影響
etcd をバックアップストアとして運用する Kubernetes クラスタ管理者は、該当バージョンの稼働確認と計画的な段階的アップグレードを早期に開始すべき。
推奨：直ちに対応不可の場合は、ファイアウォール/ネットワークポリシーで etcd の gRPC ポート (通常 2379) へのアクセス元を信頼できるコンポーネント (API サーバー・etcd メンバー等) に厳密に限定する必要がある。