首页 文章 精选 留言 我的
优秀的个人博客,低调大师

微信关注我们

原文链接:http://netsecurity.51cto.com/art/202109/681066.htm

转载内容版权归作者及来源网站所有!

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

CISA发布Kubernetes强化测试工具

本月初,美国国家安全局 (NSA) 和美国网络安全与基础设施安全局 (CISA)发布了《Kubernetes强化指南》。该指南详细介绍了加强Kubernetes系统的建议,并提供了配置指南以最大限度地降低风险。主要操作包括扫描容器和Pod是否存在漏洞或错误配置,以尽可能低的权限运行容器和 Pod,以及如何使用网络分离、防火墙、强身份验证和日志审计。 为了保障指南的有效落地,CISA日前发布了与指南配套的测试工具——Kubescape,该工具基于OPA引擎和ARMO的姿态控制,可用于测试Kubernetes是否遵循NSA和CISA强化指南中定义的安全部署。用户可使用Kubescape测试集群或扫描单个YAML文件并将其集成到流程中。 Kubescape测试内容如下: 非根容器 不可变容器文件系统 特权容器 hostPID、hostIPC 权限 主机网络访问 allowedHostPaths字段 保护pod服务帐户令牌 资源政策 控制平面强化 外露仪表板 允许权限提升 配置文件中的应用程序凭据 集群管理员绑定 执行到容器 危险能力 不安全的能力 Linux加固 入口和出口被阻止 容器主机端...

TensorFlow 因代码执行漏洞将弃用 YAML,推荐开发者改用 JSON

Tensorflow 是一个基于 Python 的机器学习和人工智能项目,该项目由 Google 开发。近日 TensorFlow 已经放弃了对 YAML 的支持,以修复一个关键的代码执行漏洞。 YAML 或 YAML Ain't Markup Language 是一种人类可读的数据序列化语言,用于在进程和应用程序之间传递对象和存储数据,许多 Python 应用程序都使用 YAML 来序列化和反序列化对象。 该漏洞的 CVE ID 为 CVE-2021-37678。TensorFlow 和 Keras(TensorFlow 的一个封装项目)的维护者表示,该漏洞源于对 YAML 的不安全解析,漏洞会在应用程序反序列化以 YAML 格式提供的 Keras 模型时,使攻击者可以执行任意代码。反序列化漏洞通常发生在应用程序读取来自非真实来源的不良或恶意数据时。 这个 YAML 反序列化漏洞的严重程度被评为 9.3 级,由安全研究员 Arjun Shibu 报告给 TensorFlow 维护者。 这个漏洞的来源是 TensorFlow 代码中臭名昭著的 "yaml.unsafe_load()" ...

相关文章

发表评论

资源下载

更多资源
Mario

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长,特征是大鼻子、头戴帽子、身穿背带裤,还留着胡子。与他的双胞胎兄弟路易基一起,长年担任任天堂的招牌角色。

Oracle

Oracle

Oracle Database,又名Oracle RDBMS,或简称Oracle。是甲骨文公司的一款关系数据库管理系统。它是在数据库领域一直处于领先地位的产品。可以说Oracle数据库系统是目前世界上流行的关系数据库管理系统,系统可移植性好、使用方便、功能强,适用于各类大、中、小、微机环境。它是一种高效率、可靠性好的、适应高吞吐量的数据库方案。

Apache Tomcat

Apache Tomcat

Tomcat是Apache 软件基金会(Apache Software Foundation)的Jakarta 项目中的一个核心项目,由Apache、Sun 和其他一些公司及个人共同开发而成。因为Tomcat 技术先进、性能稳定,而且免费,因而深受Java 爱好者的喜爱并得到了部分软件开发商的认可,成为目前比较流行的Web 应用服务器。

Eclipse

Eclipse

Eclipse 是一个开放源代码的、基于Java的可扩展开发平台。就其本身而言,它只是一个框架和一组服务,用于通过插件组件构建开发环境。幸运的是,Eclipse 附带了一个标准的插件集,包括Java开发工具(Java Development Kit,JDK)。