🔍 CVE-2018-1002104

5.3
CVSS Score
MEDIUM
2020-01-14
2026-06-17 01:33
✅ 완료

🇰🇷 한글 설명

Kubernetes ingress default backend 1.5 미만 버전에서 유효하지 않은 인그레스 트래픽을 처리할 때 프로메테우스 메트릭이 외부에 공개되는 취약점이 존재합니다. 이로 인해 공격자가 시스템의 내부 상태 정보를 수집할 수 있습니다.

💡 쉬운 설명

웹사이트로 들어오는 잘못된 요청을 처리하는 프로그램이 내부 정보를 담은 통계 데이터를 아무나 볼 수 있게 노출하고 있습니다. 이를 통해 해커가 시스템의 상태를 몰래 훔쳐볼 수 있습니다.

🇺🇸 원문 (English)

Versions < 1.5 of the Kubernetes ingress default backend, which handles invalid ingress traffic, exposed prometheus metrics publicly.

📍 영향받는 시스템

Kubernetes ingress default backend versions < 1.5

⚔️ 공격 벡터

인그레스 컨트롤러를 통해 공개된 프로메테우스 메트릭 엔드포인트에 대한 직접적인 HTTP 요청

🛡️ 대응 방법

Kubernetes ingress default backend를 1.5 버전 이상으로 업데이트하십시오.

🔧 검증 코드

출력된 이미지 태그의 버전 숫자가 1.5 미만인지 확인하십시오.

Shell / Script 
kubectl get deployments -n kube-system -l app.kubernetes.io/name=ingress-nginx -o jsonpath='{.items[*].spec.template.spec.containers[*].image}' | grep -oE 'ingress-nginx-default-backend:[0-9.]+'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

💻 영향받는 소프트웨어

Kubernetes