🇰🇷 한글 설명
IBM PowerVC 표준판 1.2.2.1~1.2.2.2 버전에서 Python 인터프리터 접근 시 인증이 필요하지 않아, KVM 게스트 OS 사용자가 nova 자격증명을 통해 PowerVC 관리자 자격증명을 탈취할 수 있습니다. 이를 통해 클라우드 인프라 전체에 대한 비인가 접근이 가능해집니다.
💡 쉬운 설명
IBM 클라우드 관리 소프트웨어의 특정 버전에서 비밀번호 입력 없이 내부 프로그램에 접근할 수 있습니다. 이를 악용해 관리자 비밀번호를 도용한 후 전체 클라우드 시스템을 제어할 수 있습니다.
🇺🇸 원문 (English)
IBM PowerVC Standard Edition 1.2.2.1 through 1.2.2.2 does not require authentication for access to the Python interpreter with nova credentials, which allows KVM guest OS users to discover certain PowerVC credentials and bypass intended access restrictions via unspecified Python code.
📍 영향받는 시스템
IBM PowerVC Standard Edition 1.2.2.1, 1.2.2.2
⚔️ 공격 벡터
KVM 가상머신 내에서 nova 계정 권한으로 인증 없이 Python 인터프리터에 접근하여 PowerVC 자격증명 추출
🛡️ 대응 방법
IBM PowerVC를 1.2.2.3 이상 패치 버전으로 업그레이드하고, Python 인터프리터 접근에 대한 인증 검증 활성화
🔧 검증 코드
설치된 PowerVC 버전이 1.2.2.1 또는 1.2.2.2이면 취약함. 1.2.2.3 이상이면 안전.
rpm -qi powervc 2>/dev/null | grep Version || dpkg -l powervc 2>/dev/null | awk '{print $3}'