这周的运维群里，安全补丁又刷了一天屏。我挑三个"普通权限就能利用"的洞说说，都能落到具体的 CVE 号和版本范围上，顺手也整理成一张集群自查清单。
第一个，Rancher，CVE-2026-44945，CVSS 9.1。多集群管理平台 Rancher 的身份冒用检查有个流程缺陷：它按 HTTP 请求里带的集群 ID 去做 SAR 权限检查，实际却落到本机管理集群上执行。结果就是——只要你能登录 Rancher，并且能控制至少一个已注册下游集群的 RBAC（哪怕只是默认的普通用户权限），理论上就可能冒用更高权限的身份，拿到控制层的完整管理权，进而管住所有被它纳管的 K8s 集群。一个普通用户，串掉整片集群，就这一条。
第二个，Linux 内核本地提权，CVE-2026-31431（"复制失败"，2026 年 4 月披露）。它出在内核的 algif_aead 模块。这个模块默认不加载，看着挺安全，但内核的模块自动加载机制会在任意进程创建 AEAD 类型的 AF_ALG socket 时把它拉起来——意思是，任何一个 Pod 里，哪怕是非 root 的攻击者，都能借此提权到节点 root，不需要特权、不需要 capability、也不需要主机访问。AKS 专门发了缓解指南。这类洞最烦人，因为它跟你的应用代码一点关系没有，纯粹是底层被撬。
第三个不算新洞，是"旧洞突然复活"：Kubernetes 安全响应委员会从 2026 年 6 月起，修正了一批较老、其实一直没被修、却被错误标了 fixed version 的 CVE 记录。后果是——你的漏洞扫描器可能某天突然开始报一堆老 CVE。别慌，先分清哪些是真要打的，别被这堆"突然冒出来"的告警带乱了节奏。
至于 ingress-nginx 那串注入洞，我之前单独写过（组件退役大半年了，那串 RCE 洞还在你集群门口），这里就不展开了。
落到自查上，我会按这张单子过一遍：
- Rancher 版本核对：是否在受影响范围内，控制层到下游集群的 RBAC 是不是给得太松；
- 节点内核版本核对：CVE-2026-31431 对应的修复版本打上没有，尤其是跑多租户、谁的 Pod 都能上来的集群；
- ingress 是不是社区版 EOL 分支，还停在 1.15.1 这类没补丁可打的版本；
- 扫描器的告警先分级，别一股脑都当新洞去打。
补丁这种东西，不怕它有，就怕你不知道它在哪、什么时候被人翻了牌。之前有个 Spectre 新变种也是这个道理，补丁看着都打全了，一样被几分钟偷走 root 密码哈希（那次我也记过）。入口类、底层的东西，权限给得越顺手，出事塌得越彻底——这话我说过不止一回了。我们那套七亿批量远程管理工具管着成片机器的 RDP/SSH，也算入口类组件，所以它自己的权限我一直收得很死；相关的用法我整理在说明书里，这里就不铺开了。这周要打的补丁不少，但七亿批量远程管理工具这边，我更在意的还是它连着的那堆机器的内核和入口版本。
评论