修复Linux内核SACK漏洞公告

未关联ELB、EIP的容器实例，因为不对公网暴露，不受该漏洞影响，无需处理。

无状态负载（Deployment）：漏洞修复之后（7月11日0点之后）创建的无状态负载，不受该漏洞影响；漏洞修复之前（7月11日0点之前）创建的无状态负载，建议选择业务不受影响的时间窗口，删除并重新创建负载的Pod实例。
任务（Job）/定时任务（CronJob）：当前任务/定时任务执行完成后，下次任务/定时任务新建的Pod不再受该漏洞影响，无需处理。
插件：coredns插件不受该漏洞影响，无需处理。

漏洞详情

2019年6月18日，Redhat发布安全公告，Linux内核处理器TCP SACK模块存在3个安全漏洞(CVE-2019-11477、CVE-2019-11478、CVE-2019-11479)，这些漏洞与最大分段大小（MSS）和TCP选择性确认（SACK）功能相关，攻击者可远程发送特殊构造的攻击包造成拒绝服务攻击，导致服务器不可用或崩溃。

参考链接：

https://www.suse.com/support/kb/doc/?id=7023928

https://access.redhat.com/security/vulnerabilities/tcpsack

https://www.debian.org/lts/security/2019/dla-1823

https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SACKPanic?

https://lists.centos.org/pipermail/centos-announce/2019-June/023332.html

https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md

表1 漏洞信息
漏洞类型	CVE-ID	披露/发现时间	华为云修复时间
输入验证错误	CVE-2019-11477	2019-06-17	2019-07-11
资源管理错误	CVE-2019-11478	2019-06-17	2019-07-11
资源管理错误	CVE-2019-11479	2019-06-17	2019-07-11

影响范围

影响Linux 内核2.6.29及以上版本。

解决方法

7月11日0点修复之前创建的无状态负载，建议选择业务不受影响的时间窗口，删除并重新创建负载的Pod实例。

登录云容器实例管理控制台，左侧导航栏中选择“工作负载 > 无状态（Deployment）”，单击负载名称。
在无状态负载详情页面的Pod列表，单击Pod后的“删除”，在弹出的对话框中单击“是”。

图1 删除相关Pod

Pod删除后，Deployment会控制自动创建一个新的Pod，不需要您再进行新建，如图2所示。
图2 自动创建Pod

存在多个Pod时，请逐个删除Pod，待前一个Pod重新创建成功后，再删除下一个Pod，避免业务发生中断。