CVE-2019-11253
— 神龙十问 AI 深度分析摘要
CVSS 7.5 · High
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：API Server 存在**输入验证错误**。
💥 **后果**：攻击者可发送恶意 YAML/JSON 载荷，触发**指数级内存消耗**（Billion Laughs 攻击），导致 **API Server 崩溃**，引发**拒绝服务 (DoS)**。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：**CWE-20** (Improper Input Validation)。
🔧 **缺陷点**：Kubernetes API Server 在处理 **YAML/JSON 解析**时，未对嵌套引用或复杂结构进行有效限制，导致资源耗尽。
Q3影响谁？（版本/组件）
📦 **组件**：**Kubernetes API Server**。
📅 **受影响版本**：
- v1.0 - v1.12
- v1.13.x (< v1.13.12)
- v1.14.x (< v1.14.8)
- v1.15.x (< v1.15.4)
*(注：数据截断部分通常指 v1.15.4 及更早版本)*
Q4黑客能干啥？（权限/数据）
🛑 **黑客能力**：**拒绝服务 (DoS)**。
🚫 **非**：无法直接获取权限或窃取数据。
⚠️ **影响**：集群控制平面不可用，业务中断。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**低**。
🔑 **认证**：**无需认证** (PR:N)。
🌐 **网络**：**远程** (AV:N)。
⚡ **复杂度**：**低** (AC:L)。
👤 **交互**：**无需用户交互** (UI:N)。
Q6有现成Exp吗？（PoC/在野利用）
💻 **PoC**：**有**。
🔗 **来源**：ProjectDiscovery Nuclei 模板已收录。
📝 **描述**：通过构造特殊 YAML/JSON 触发内存爆炸。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 Kubernetes 版本是否在受影响列表。
2. 监控 API Server 的 **内存使用率**，排查是否有异常飙升。
3. 使用 Nuclei 等工具扫描 API 端点是否响应恶意载荷。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。
📌 **建议版本**：升级至 **v1.13.12+**、**v1.14.8+** 或 **v1.15.4+**。
📢 **公告**：Google 和 RedHat 均已发布安全公告。
Q9没补丁咋办？（临时规避）
⏳ **临时规避**：
1. **升级**是唯一根治方法。
2. 若无法升级，建议在 API Server 前部署 **WAF** 或 **API Gateway**，拦截异常的 YAML/JSON 结构。
3. 限制 API Server 的 **资源配额 (Resource Quotas)**，防止单点崩溃影响整体。
Q10急不急？（优先级建议）
⚡ **优先级**：**高 (Critical)**。
📊 **CVSS**：**7.5** (High)。
💡 **理由**：无需认证、远程可利用、直接导致核心组件崩溃。建议**立即升级**或实施缓解措施。