🇰🇷 한글 설명
Kubernetes v1.12.0-v1.12.4 및 v1.13.0 버전에서 rest.AnonymousClientConfig() 메서드가 서비스 계정 자격 증명을 효과적으로 제거하지 못하는 취약점이 발견되었습니다. 이로 인해 익명 클라이언트 설정 시 내부 서비스 계정의 인증 정보가 유출될 위험이 있습니다.
💡 쉬운 설명
쿠버네티스 시스템이 익명 사용자를 위한 설정을 만들 때, 실수로 내부 관리자용 비밀 열쇠를 포함해서 전달하는 문제입니다. 이로 인해 권한이 없는 사람이 시스템 내부 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
In Kubernetes v1.12.0-v1.12.4 and v1.13.0, the rest.AnonymousClientConfig() method returns a copy of the provided config, with credentials removed (bearer token, username/password, and client certificate/key data). In the affected versions, rest.AnonymousClientConfig() did not effectively clear service account credentials loaded using rest.InClusterConfig()
📍 영향받는 시스템
Kubernetes v1.12.0-v1.12.4 및 v1.13.0
⚔️ 공격 벡터
익명 클라이언트 설정을 호출하는 과정에서 내부 서비스 계정 자격 증명이 포함된 설정을 탈취
🛡️ 대응 방법
취약점이 해결된 최신 버전의 Kubernetes로 업데이트
🔧 검증 코드
명령어 결과에 v1.12.x 또는 v1.13.x 버전이 포함되어 있으면 취약한 버전이 설치된 상태입니다.
kubectl version --short 2>/dev/null | grep -E 'v1.12\.|v1.13\.'