图像凭证提供者的漏洞

Question

您好，我有 eks 集群在 aws 中运行，有 15 个节点。我每天使用 wiz 工具扫描我们的服务器。出现了新的漏洞，其严重性为 CVE-2023-39325。问题是这 15 台服务器上没有安装 go。它是亚马逊linux2 ec2机器。红帽。我知道 go lang 二进制文件是 kubelet 可用的一部分。所以删除文件不是一个选择。 Wiz 报告称“在位于 /etc/eks/ecr-credential-provider/ecr-credential-provider 的 Golang 二进制文件中检测到库 golang.org/x/net 版本 0.0.0-20220127200216-cd36cc0744dd，并且容易受到 CVE- 2023-39325，存在于版本中< 0.17.0." but when I proceed to that location theres no such file. my location is following /etc/eks/image-credential-provider/ecr-credential-provider and there are two files config.json and ecr-

我用 yum 安装了 golang，版本是 go version go1.20.10 linux/amd64 并尝试运行 go get -u golang.org/x/net

go：在当前目录或任何父目录中找不到 go.mod 文件。 模块外部不再支持“go get”。 要构建和安装命令，请使用带有版本的“go install”， 就像“去安装 example.com/cmd@latest” 有关更多信息，请参阅 https://golang.org/doc/go-get-install-deprecation 或运行“go help get”或“go help install”

这是我得到的输出。并进行安装

提供但未定义标志：-u 用法： go install [构建标志] [包] 运行“go help install”了解详细信息。

任何提示和帮助表示赞赏

go get -u golang.org/x/net 去安装-u golang.org./x/net

Answer 1

`credentials-provider.  {
`"apiVersion": "kubelet.config.k8s.io/v1alpha1",
"kind": "CredentialProviderConfig",
"providers": [
{
"name": "ecr-credential-provider",
"matchImages": [
".dkr.ecr..amazonaws.com",
".dkr.ecr..amazonaws.com.cn",
".dkr.ecr-fips..amazonaws.com",
".dkr.ecr..c2s.ic.gov",
".dkr.ecr..sc2s.sgov.gov"
],
"defaultCacheDuration": "12h",
"apiVersion": "credentialprovider.kubelet.k8s.io/v1alpha1"
}
]
}