🇰🇷 한글 설명
Kubernetes kube-apiserver의 프록시 업그레이드 요청 처리 오류로 인해 발생하는 취약점입니다. 공격자가 특수하게 조작된 요청을 보내 API 서버를 통해 백엔드 서버로 연결을 설정하고, API 서버의 TLS 인증서를 사용하여 백엔드에 임의의 요청을 보낼 수 있습니다.
💡 쉬운 설명
해커가 쿠버네티스 서버를 속여서, 서버가 가진 신분증(인증서)을 이용해 내부의 다른 서버에 몰래 명령을 내리게 만드는 보안 구멍입니다. 이를 통해 공격자는 인증된 사용자처럼 행동하며 내부 네트워크에 침투할 수 있습니다.
🇺🇸 원문 (English)
In all Kubernetes versions prior to v1.10.11, v1.11.5, and v1.12.3, incorrect handling of error responses to proxied upgrade requests in the kube-apiserver allowed specially crafted requests to establish a connection through the Kubernetes API server to backend servers, then send arbitrary requests over the same connection directly to the backend, authenticated with the Kubernetes API server's TLS credentials used to establish the backend connection.
📍 영향받는 시스템
Kubernetes v1.10.11 미만, v1.11.5 미만, v1.12.3 미만 모든 버전
⚔️ 공격 벡터
조작된 프록시 업그레이드 요청을 kube-apiserver에 전송하여 백엔드 서버로의 인증된 연결 탈취
🛡️ 대응 방법
Kubernetes를 v1.10.11, v1.11.5 또는 v1.12.3 이상의 보안 패치 버전으로 즉시 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 해당 시스템은 보안 업데이트가 필요한 상태입니다.
kubectl version --short | grep -E 'v1\.(10|11)\.(0-10)|v1\.12\.(0-2)'