K8S 曝漏洞，严重性高达 9.8 分；台积电突遭砍单：7nm 产线将面临部分空载

Posted 2021-04-02 技术最前线

(给技术最前线加星标，每天看技术热点)

【技术资讯】

0、Kubernetes 被曝严重安全漏洞，严重性评估高达 9.8 分

近日，Kubernetes 被爆出严重安全漏洞，该漏洞 CVE-2018-1002105（又名 Kubernetes 特权升级漏洞，https://github.com/kubernetes/kubernetes/issues/71411）被确认为严重性 9.8 分（满分 10 分）。具体来说，恶意用户可以使用 Kubernetes API 服务器连接到后端服务器以发送任意请求，并通过 API 服务器的 TLS 凭证进行身份验证。这一安全漏洞的严重性更在于它可以远程执行，攻击并不复杂，不需要用户交互或特殊权限。

图片来自于 WikiMedia

更糟糕的是，在 Kubernetes 的默认配置中，允许所有用户（经过身份验证和未经身份验证的用户）执行允许此升级的发现 API 调用。也就是说，任何了解这个漏洞的人都可以掌控你的 Kubernetes 集群。

最后的痛苦之处在于，对于用户而言，没有简单的方法来检测此漏洞是否已被使用。由于未经授权的请求是通过已建立的连接进行的，因此它们不会出现在 Kubernetes API 服务器审核日志或服务器日志中。请求确实会出现在 kubelet 或聚合的API服务器日志中，但是却无法与正确通过 Kubernetes API 服务器授权和代理的请求区分开来。

现在，Kubernetes 已经发布了修补版本 v1.10.11、v1.11.5、v1.12.3 和 v1.13.0-rc.1。如果仍在使用 Kubernetes v1.0.x 至 Kubernetes v1.9.x 版本，请即刻停止使用并升级到修补版本。

如果由于某种原因无法进行升级，也必须暂停使用聚合的 API 服务器，并从不应具有对 kubelet API 的完全访问权限的用户中删除 pod exec/attach/portforward 权限（不过也有用户认为这种解决方法的糟糕程度和这个漏洞问题本身不相上下了）。

1、微软开发 Windows Lite 去挑战 Chrome OS

微软据报道正在开发 Windows Lite 去挑战 Google 的 Chrome OS。Windows Lite 是 Windows 10 的一个轻量级版本，只能运行 PWA 和 UWP 应用，类似 Windows10 S，但比 Windows10 S 更轻量级，即时启动，始终联网，能运行在任何 CPU 上。它可能不再叫 Windows，使用 Windows Core OS。在 Windows RT 和 Windows 10 S 已经失败的情况下，Windows Lite 如何能获得成功？微软可能会在明年的 Build 2019 大会上透露新的消息。

2、Linux Mint 19.1 Beta 发布：新功能方便用户清理旧 Linux 内核

团队于今天正式推出了Linux Mint 19.1的Beta版本，有计划在圣诞节前夕发布正式版。今天发布的Beta版本共有三个风味版本，分别为Cinnamon、MATE和Xfce。团队在之前的官方博文中已经详细介绍了新版本中引入的诸多功能，不过在今天发布的Beta版本中还引入了新功能--允许用户清理旧Linux内核，避免Linux Mint 19的引导扇区被这些旧内核塞满。

在Linux Mint 19中的这项调整，能够让用户和其他补丁一起安装内核更新。此前用户在安装新的内核之后，除非用户进入Update Manager中进行手动一个个删除，否则旧的内核依然会继续存在。这导致用户在安装新内核之后到收到通知说引导扇区已经满的通知。现在，内核管理器中会有一个“删除旧内核”的按钮，方便用户选择要删除的旧内核并批量删除。

【业界资讯】

0、台积电突遭砍单：7nm 产线将面临部分空载

今天正式亮相的骁龙855芯片大概率是基于台积电的7nm工艺打造，如此以来，“天字一号”代工厂成功拿下了苹果、华为、AMD、NVIDIA、Xillinx等大鳄。然而，即便如此，一个坏消息传来，Digitimes引述报道称，台积电原定为2019年上半年规划部署的7nm产能将不能满载，相反，会出现部分闲置。

这是因为，苹果、华为和高通均在近期削减了订单，导致台积电的7nm利用率下降到80~90%。

由于在11月的财务会议上，台积电描绘的7nm前景还是一片大好，甚至自曝已经在做的就有50款方案，明年会超百款。所以上述报道是否靠谱，可能最终需要等到明年1月中旬的投资者会议上见分晓。

另外，苹果砍单不奇怪，毕竟iPhone XS/XR销量不济木已成舟，但高速增长中的华为和押宝5G的高通突然收缩战线，似乎有些难以解释。

1、微信等机构备付金下月上交央行，提现手续费或将上涨

中国人民银行支付结算司近日下发特急文件，要求所有的第三方支付机构应于2019年1月14日前撤销人民币客户备付金账户，“备付金”将由央行来接管。业内人士称，对于老百姓而言，则意味着资金将更加安全。专家表示，该规定对消费者快捷支付的体验影响不太大，但不排除未来使用第三方支付通道偿还信用卡或进行提现的手续费会有所上涨。（中国网）

2、降成本提效率，ofo 将发布“升级版”用户停车规范

36氪讯，ofo对外公告称，将从2018年12月10日起公布并在全国范围逐步推行新版《ofo共享单车用户停车规范》。《规范》内容分为指定停车区和禁停区两部分，旨在通过奖惩结合的举措，引导用户规范停车，营造良好的城市出行环境。

觉得这些资讯有帮助？请转发给更多人

关注 技术最前线 加星标，看 IT 要闻