🇰🇷 한글 설명
Kubernetes 및 Red Hat OpenShift Enterprise 3.0에서 객체 타입 이름 검증 부재로 인한 디렉토리 트래버설 취약점입니다. 공격자가 조작된 객체 타입 이름을 통해 etcd 저장소로 전달되기 전에 입력이 적절히 검증되지 않아 임의의 파일에 쓸 수 있게 됩니다.
💡 쉬운 설명
Kubernetes에서 특수한 이름 문자를 조작하면 본래 접근할 수 없는 시스템 파일에 데이터를 쓸 수 있습니다. 이를 통해 공격자가 시스템을 손상시킬 수 있습니다.
🇺🇸 원문 (English)
Directory traversal vulnerability in Kubernetes, as used in Red Hat OpenShift Enterprise 3.0, allows attackers to write to arbitrary files via a crafted object type name, which is not properly handled before passing it to etcd.
📍 영향받는 시스템
Kubernetes 및 Red Hat OpenShift Enterprise 3.0 이전 버전
⚔️ 공격 벡터
API 요청의 객체 타입 필드에 디렉토리 트래버설 문자(../)를 포함시킨 조작된 값 전달
🛡️ 대응 방법
Kubernetes 및 OpenShift를 3.0.1 이상으로 업그레이드하여 입력 검증 강화
🔧 검증 코드
출력된 서버 버전이 v1.3.0 이상인지 확인 (v1.2.x는 취약함)
kubectl version --short 2>/dev/null | head -1