🇰🇷 한글 설명
OpenShift3의 Kubernetes에서 인증된 원격 사용자가 다른 사용자의 프라이빗 이미지 이름을 알고 있으면 그 이미지에 접근할 수 있는 취약점입니다. 이미지 이름만으로도 접근 제어를 우회하여 권한이 없는 프라이빗 컨테이너 이미지를 사용할 수 있습니다. 이는 이미지 저장소의 접근 제어 메커니즘이 불충분함을 의미합니다.
💡 쉬운 설명
Kubernetes에서 누군가의 비공개 사진(컨테이너 이미지) 이름을 알면 그 사진에 접근할 수 있는 문제입니다. 마치 비밀 금고가 잠금장치는 있지만 번호만 알면 열 수 있는 것처럼, 권한이 없어도 이름만 알면 접근이 가능합니다.
🇺🇸 원문 (English)
Kubernetes in OpenShift3 allows remote authenticated users to use the private images of other users should they know the name of said image.
📍 영향받는 시스템
Kubernetes in OpenShift Origin 3.0.0 ~ 3.0.2, OpenShift Enterprise 3.0.x
⚔️ 공격 벡터
인증된 사용자가 다른 사용자의 프라이빗 이미지 이름을 알아내 Docker pull 또는 이미지 참조를 통해 직접 접근
🛡️ 대응 방법
OpenShift 3.1 이상으로 업그레이드 또는 이미지 저장소 접근 제어 정책 강화
🔧 검증 코드
명령어 실행 결과에서 imagestream 목록이 나오면 취약한 버전일 가능성이 있으며, OpenShift 버전 확인(oc version)으로 3.1 이상인지 검증
kubectl get images --all-namespaces 2>/dev/null | grep -i 'imagestream' || oc get imagestream -A 2>/dev/null