在运维工作中，在对Kubernetes集群进行安全扫描时，发现Master节点kube-controller-manager监听端口10257存在SSL/TLS协议配置风险。该服务默认支持不安全的3DES弱加密套件、RSA密钥交换方式，易遭受中间人攻击，存在流量信息泄露风险，对应漏洞编号CVE-2016-2183（SWEET32）。

在对Kubernetes集群进行安全扫描时，发现Master节点kube-controller-manager监听端口10257存在SSL/TLS协议配置风险。该服务默认支持不安全的3DES弱加密套件、RSA密钥交换方式，易遭受中间人攻击，存在流量信息泄露风险，对应漏洞编号CVE-2016-2183（SWEET32）。

1. 漏洞详情

涉及组件：kube-controller-manager
通信协议：TCP HTTPS（底层SSL/TLS）
监听端口：10257
扫描目标IP：123.123.123.123
扫描标签：原理扫描、可验证、未验证

风险描述：

1. SSL/TLS协议信息泄露漏洞(CVE-2016-2183)：服务端兼容3DES弱加密套件，分组长度不足，攻击者可通过生日攻击破解加密流量，窃取敏感数据；
2. 目标主机支持RSA密钥交换：纯RSA密钥交换无前置保密性，一旦服务私钥泄露，所有历史加密通信均可被解密，风险更高。

影响范围：集群所有Master节点kube-controller-manager组件均需加固修复。

2. 修复方案

核心思路：通过启动参数显式指定安全加密套件白名单，彻底禁用3DES、纯RSA等不安全算法，强制使用具备前向保密的ECDHE加密套件。

操作步骤

1. 编辑kube-controller-manager systemd服务文件

vim /etc/systemd/system/kube-controller-manager.service

找到ExecStart启动命令，在原有参数末尾追加--tls-cipher-suites配置，仅保留安全AES-GCM加密套件，完整示例：

ExecStart=/opt/kube/bin/kube-controller-manager \
..................................
--tls-cipher-suites=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 \

2. 重载systemd配置并重启组件
   修改systemd服务文件后必须重载配置才能生效，执行命令：

systemctl daemon-reload
systemctl restart kube-controller-manager
# 可选：检查服务运行状态，确认无启动报错
systemctl status kube-controller-manager

3. 漏洞验证方法

使用openssl工具分别验证3DES弱套件、RSA密钥交换是否已被拦截。

3.1 验证是否禁用3DES弱加密算法

强制使用3DES套件连接10257端口，检测握手是否失败

openssl s_client -connect 集群主机IP:10257 -cipher 3DES -tls1_2 </dev/null 2>&1 | grep "Cipher"

结果判定：
✅ 修复成功：输出no shared cipher / Cipher is (NONE)，服务拒绝3DES握手；
❌ 修复失败：输出Cipher is DES-CBC3-SHA，代表仍兼容3DES，漏洞未修复。

3.2 验证是否禁用纯RSA密钥交换

强制使用RSA密钥交换套件连接，校验是否拦截

openssl s_client -connect 集群主机IP:10257 -cipher "kRSA" -tls1_2 </dev/null 2>&1 | grep -E "(handshake failure|no shared cipher|Cipher)"

结果判定：
✅ 修复成功：出现handshake failure，最终Cipher is (NONE)，已禁用RSA密钥交换；
❌ 修复失败：输出具体加密套件名称，仍允许纯RSA密钥交换。

4. 补充运维建议

1. 该漏洞属于配置类风险，无需升级K8s二进制版本，重启组件无业务中断；
2. 集群kube-apiserver、kube-scheduler、kubelet等管控端口均存在同类弱加密风险，建议统一配置tls加密套件白名单批量加固；
3. 等保、渗透测试中TLS弱套件、无前置保密RSA交换为高频扣分点，统一标准化加密套件可规避SWEET32、RC4等系列老旧TLS漏洞；
4. 本次加固仅剔除不安全加密算法，集群内部节点、Pod管控通信不受影响。