Vulnerabilidades CVE no sistema operacional (SO) de um nó podem causar violações de dados e interrupções de service, o que ameaça a estabilidade, a segurança e a conformidade do cluster. Ative o recurso de correção de vulnerabilidades CVE do SO para verificar os nós em busca de falhas de segurança, receber recomendações de correção e aplicar rapidamente as correções pelo console.
Pré-requisitos
Para usar este recurso, assine a edição Security Center Ultimate ou adquira o recurso vulnerability patching (pay-as-you-go).
Observações de uso
O Security Center garante a compatibilidade das correções de CVE. No entanto, verifique a compatibilidade das aplicações do seu cluster com essas correções. Caso encontre problemas durante o processo, pause ou cancele a tarefa a qualquer momento.
-
Se a correção de uma vulnerabilidade CVE exigir a reinicialização do nó, o ACK drena o nó antes de reiniciá-lo.
-
Uso de recursos do cluster: O consumo de recursos não deve ser excessivo. Garanta espaço suficiente para alocar pods durante as operações de drenagem.
Para garantir alta disponibilidade, recomendamos dimensionar horizontalmente o node pool adicionando mais nós antes de ativar este recurso. Para obter mais informações, consulte Manually scale a node pool.
Restrições de PodDisruptionBudget (PDB): Se houver um PDB configurado, garanta que o cluster tenha recursos suficientes para a operação de drenagem e que o número de réplicas de pod atenda ao requisito mínimo de disponibilidade definido no PDB. O número de réplicas deve ser maior que
spec.minAvailable. Exclua a regra se ela não for necessária.Encerramento de pods: Garanta que os contêineres em um pod tratem corretamente o sinal TERM (SIGTERM). Isso evita falhas no encerramento do pod dentro do período de tolerância, o que causaria erro na operação de drenagem.
Tempo limite máximo de drenagem: O tempo limite para uma operação de drenagem é de uma hora. Se a operação não for concluída nesse período, o ACK interrompe as etapas subsequentes.
-
Ao corrigir uma vulnerabilidade CVE que exija reinicialização do nó, se os nós de destino incluírem nós GPU, atualize o kernel manualmente. Essa abordagem evita possíveis problemas de compatibilidade com drivers de GPU. Para obter mais informações, consulte Manually upgrade the kernel of a GPU node in an existing cluster.
As tarefas de correção de vulnerabilidades CVE são executadas em lotes. Se você pausar ou cancelar uma tarefa, os lotes em andamento continuarão até a conclusão, enquanto os pendentes serão pausados ou cancelados.
As tarefas de correção ocorrem dentro da janela de manutenção configurada do cluster. Se uma tarefa exceder essa janela, ela será cancelada automaticamente. Lotes em andamento continuarão até a conclusão; os pendentes serão cancelados.
Apenas uma tarefa de correção de vulnerabilidades CVE pode ser executada por vez em um node pool.
-
Se o sistema operacional for ContainerOS, corrija vulnerabilidades CVE por meio da upgrading the operating system. O recurso de correção de vulnerabilidades CVE é suportado apenas nas versões 3,2 e 3,3 do ContainerOS.
Para obter mais informações sobre as versões do ContainerOS, consulte ContainerOS image release notes .
Modifique a janela de manutenção cancela quaisquer planos agendados de correção de vulnerabilidades CVE. Novos planos serão agendados posteriormente.
Procedimento
Correção automática de CVEs do SO
Os Managed Node Pools oferecem automated O&M capabilities para corrigir automaticamente vulnerabilidades CVE do sistema operacional. Quando ativado, o ACK agenda e executa um plano de correção com base em regras globais de tarefas. As correções automáticas ocorrem dentro da janela de manutenção configurada. Como o ACK aplica as correções progressivamente, o momento exato da aplicação em um node pool vulnerável pode variar dependendo de fatores como a região.
A partir de 5 de agosto de 2025, os parâmetros relacionados à política automática de correção de vulnerabilidades CVE serão ajustados. Para obter mais informações, consulte Change 3: Adjustments to parameters related to the automatic security vulnerability patching policy .
Faça login no ACK console. No painel de navegação à esquerda, clique em Clusters.
Na página Clusters, clique no nome do cluster. No painel de navegação à esquerda, clique em .
-
Na coluna Actions do node pool desejado, clique em
e selecione Enable Managed Node Pool (para node pool padrão) ou Configure Managed Node Pool (para Managed Node Pool). Defina o modo Configure Managed Node Pool como Managed Node Pool e selecione os níveis de gravidade das vulnerabilidades CVE para correção automática.Este recurso é fornecido pelo Security Center e requer assinatura da edição Enterprise ou superior. O ACK não cobra taxas adicionais. Em Security Vulnerability Patching Level, selecione Critical, Medium ou Low.
Quando uma vulnerabilidade de segurança é encontrada no kernel Linux, geralmente é necessário atualizar o pacote do kernel e reiniciar o nó. Devido aos altos riscos de estabilidade dessas operações, o ACK ignora a correção de vulnerabilidades de segurança do kernel por padrão. Trate essas vulnerabilidades manualmente por meio da changing the operating system ou seguindo as etapas em Manually patch OS CVE vulnerabilities.
Se ainda precisar corrigir automaticamente vulnerabilidades do kernel, envie um ticket para solicitar essa alteração.
Correção manual de CVEs do SO
Também é possível corrigir vulnerabilidades CVE manualmente.
Faça login no ACK console. No painel de navegação à esquerda, clique em Clusters.
Na página Clusters, clique no nome do cluster. No painel de navegação à esquerda, clique em .
Na página Node Pools, localize o node pool a ser gerenciado. Na coluna Actions, clique em
e selecione CVE Patching (OS) .-
Na área Vulnerabilities, selecione as vulnerabilidades a corrigir. Na área Instance, selecione as instâncias a corrigir. Configure a Batch Repair Policy e clique em Start Repair. Siga as instruções na tela.
A política de reparo em lote inclui os seguintes parâmetros:
Maximum Parallel Nodes per Batch: Os nós são corrigidos contra vulnerabilidades CVE em lotes. O número de nós por lote dobra a cada etapa (1, 2, 4, 8 e assim por diante) até atingir o máximo especificado. Todos os lotes subsequentes usam o número máximo. Por exemplo, se o máximo for 4, o primeiro lote corrige 1 nó, o segundo corrige 2 nós, e o terceiro e demais lotes corrigem 4 nós.
Dry Run Mode: Ao ativar este modo, o ACK simula o processo de correção e gera um relatório sem aplicar efetivamente as correções.
Próximas etapas
Após o início da tarefa de correção, gerencie a execução clicando em Pause, Continue ou Cancel.