# Kubernetes kubectl cp命令目录穿越漏洞(CVE-2019-11246)

- Link: https://www.xuepaijie.com/html/security/trend/2255.html
- Published: 2019-07-04T22:17:32+08:00
- Author: Admin

**漏洞描述：**

2019年7月03日，Kubernetes官方发布安全通告，披露了一个kubectl cp命令潜在目录穿越漏洞(
CVE-2019-11246)。

kubectl cp命令允许复制容器和用户计算机之间的文件，在通过tar解压时存在缺陷，当用户
主动运行kubectl cp命令从container上复制tar文件并解压时可能导致用户计算机上的文件
或数据被覆盖或创建。

**漏洞定级：**

高危

**漏洞影响范围：**

影响的组件是：kubectl

 1. Kubernetes v1.0.x-1.10.x
 2. Kubernetes v1.11.0-1.11.x
 3. Kubernetes v1.12.0-1.12.9
 4. Kubernetes v1.13.0-1.13.6
 5. Kubernetes v1.14.0-1.14.2

**漏洞不影响范围：**

 1. Kubernetes v1.12.9
 2. Kubernetes v1.13.6
 3. Kubernetes v1.14.2
 4. Kubernetes v1.15.x

**漏洞处置建议：**

升级Kubernetes至安全版本。