Container Service for Kubernetes：CVE-2025-31133、CVE-2025-52565和CVE-2025-52881修複方案

步驟一：修改節點池的運行時配置

修改邊緣節點池配置後，建立節點都將使用更高版本的containerd運行時，避免相關漏洞。

1. 開啟修改節點池配置的API。

2. 填寫如下參數，其他參數保持預設：

   1. ClusterId：叢集ID。

   2. NodepoolId：需要修改配置的邊緣節點池ID。

   3. runtime_version：容器運行時版本，設定為1.6.39。

3. 發起API調用。

步驟二：手動升級現有節點的containerd版本

節點排水

在需要升級的目標邊緣節點上執行節點排水，把該節點上的Pod遷移到其他可用節點：

1. 將下方命令中的<NODE_NAME>替換為節點名稱後，執行命令，將目標節點設定為不可調度狀態：

   kubectl cordon <NODE_NAME>

2. 進行節點排水：

   kubectl drain <NODE_NAME> --grace-period=120 --ignore-daemonsets=true

在目標節點執行修複

1. 登入目標邊緣節點，在節點上執行下列修複操作。

   1. 配置REGION和INTERCONNECT_MODE環境變數：

      export REGION="cn-hangzhou"  INTERCONNECT_MODE="basic";  # 將 “cn-hangzhou” 和 “basic” 替換為真實配置。

      參數	說明
      REGION	叢集所在地區的Region ID。ACK Edge叢集支援的地區及其Region ID，請參見開服地區。
      INTERCONNECT_MODE	節點的接入網路類型 basic：公網接入。 private：私網接入。

   2. 執行下方指令碼修複漏洞。

      #!/bin/bash
      set -e -x
      
      # parameter
      if [[ $REGION == "" ]];then
          echo "Error: REGION is null"
          exit 1
      fi
      
      if [[ $INTERCONNECT_MODE == "" ]]; then
         echo "Error: INTERCONNECT_MODE is null"
         exit 1
      fi
      
      if containerd --version | grep -q "1.6.39"; then
         echo "No need to upgrade current containerd(1.6.39)"
         exit 0
      fi
      
      export OS_ARCH=amd64
      case $(uname -m) in
      "sw_64")
          export OS_ARCH=sw64
          ;;
      "x86_64")
          export OS_ARCH=amd64
          ;;
      "arm64")
          export OS_ARCH=arm64
          ;;
      "aarch64")
          export OS_ARCH=arm64
          ;;
      *)
          echo "unknown arch $(uname -a), default to amd64 "
          ;;
      esac
      
      INTERNAL=$( [ "$INTERCONNECT_MODE" = "private" ] && echo "-internal" || echo "" )
      SERVER="http://aliacs-k8s-${REGION}.oss-${REGION}${INTERNAL}.aliyuncs.com"
      
      if grep -q -E "Ubuntu|Debian" /etc/os-release; then
          export PKG_MGR="-deb"
      else
          export PKG_MGR=""
      fi
      
      CONTAINERD_VERSION="1.6.39"
      CONTAINERD_PACKAGE_URL="$SERVER/public/pkg/containerd${PKG_MGR}/containerd${PKG_MGR}-${CONTAINERD_VERSION}-linux-${OS_ARCH}.tar.gz"
      wget $CONTAINERD_PACKAGE_URL -O /tmp/containerd.tar.gz
      mkdir -p /tmp/containerd
      tar xf /tmp/containerd.tar.gz -C /tmp/containerd
      
      
      if [[ $PKG_MGR == "-deb" ]]; then
          apt install -y /tmp/containerd/pkg/containerd-deb/$CONTAINERD_VERSION/deb/*.deb
      else
          yum localinstall -y /tmp/containerd/pkg/containerd/$CONTAINERD_VERSION/rpm/* 
      fi
      
      systemctl restart containerd
      
      echo "succeeded to upgrade containerd"

   3. 如果輸出如下內容，表明當前節點環境不存在CVE漏洞，機器上未執行任何變更，無需進行後續操作：

      No need to upgrade current containerd(1.6.39)

      輸出如下內容，表示該節點環境存在漏洞且已被修複：

      succeeded to upgrade containerd

節點上線

將下方命令中的<NODE_NAME>替換為節點名稱後，執行命令，將節點設定為可調度狀態：

kubectl uncordon <NODE_NAME>