# Kubernetes API服务器patch请求远程拒绝服务漏洞

- Link: https://www.xuepaijie.com/html/security/trend/2007.html
- Published: 2019-04-25T21:14:50+08:00
- Author: Admin

**背景信息：**

2019年4月02日，监测到Kubernetes官方发布安全通告，披露了一个Kubernetes API服务器patch
请求远程拒绝服务漏洞CVE-2019-1002100。

**漏洞描述：**

拥有补丁权限的恶意用户通过发送特定超长的“json-patch”补丁请求(例如kubectl patch -
type json或”Content-Type: application/json-patch+json”)，会导致Kubernetes API服务
器CPU资源耗尽而拒绝服务。

**漏洞定级：**

高危

**漏洞影响组件：**

Kubernetes API server

**漏洞影响范围：**

 1. Kubernetes v1.0.x-1.10.x
 2. Kubernetes v1.11.0-1.11.7
 3. Kubernetes v1.12.0-1.12.5
 4. Kubernetes v1.13.0-1.13.3

**漏洞不影响范围：**

 1. Kubernetes v1.11.8
 2. Kubernetes v1.12.6
 3. Kubernetes v1.13.4

**漏洞处置建议：**

升级Kubernetes至安全版本。

**扩展知识引用：**

[https://github.com/kubernetes/kubernetes/issues/74534](https://github.com/kubernetes/kubernetes/issues/74534)