🇰🇷 한글 설명
Kubernetes kube-apiserver가 클러스터 범위의 커스텀 리소스를 네임스페이스 리소스인 것처럼 요청할 경우 접근을 잘못 허용하는 취약점입니다. 이로 인해 특정 네임스페이스에만 권한이 있는 사용자가 해당 네임스페이스의 Role 및 RoleBinding을 이용해 클러스터 전체 범위의 리소스를 생성, 조회, 수정 또는 삭제할 수 있습니다.
💡 쉬운 설명
특정 방에만 들어갈 수 있는 권한을 가진 사람이, 마치 그 방의 물건인 것처럼 속여서 건물 전체의 공용 물건을 마음대로 조작할 수 있는 보안 결함입니다. 이를 통해 권한 밖의 중요한 설정들을 변경할 위험이 있습니다.
🇺🇸 원문 (English)
The Kubernetes kube-apiserver mistakenly allows access to a cluster-scoped custom resource if the request is made as if the resource were namespaced. Authorizations for the resource accessed in this manner are enforced using roles and role bindings within the namespace, meaning that a user with access only to a resource in one namespace could create, view update or delete the cluster-scoped resource (according to their namespace role privileges). Kubernetes affected versions include versions prior to 1.13.9, versions prior to 1.14.5, versions prior to 1.15.2, and versions 1.7, 1.8, 1.9, 1.10, 1.11, 1.12.
📍 영향받는 시스템
Kubernetes 1.13.9 미만, 1.14.5 미만, 1.15.2 미만 및 1.7, 1.8, 1.9, 1.10, 1.11, 1.12 버전
⚔️ 공격 벡터
네임스페이스 기반의 Role 권한을 가진 사용자가 클러스터 범위의 리소스를 네임스페이스 리소스인 것처럼 위장하여 API 요청을 전송
🛡️ 대응 방법
취약점이 해결된 최신 버전(1.13.9+, 1.14.5+, 1.15.2+ 등)으로 Kubernetes 클러스터 업데이트
🔧 검증 코드
출력된 Kubernetes 서버 버전이 취약한 버전 범위에 포함되는지 확인
kubectl version --short | grep -E 'v(1\.[7-9]|1\.[0-9]|1\.1[0-2])|v1\.13\.[0-9]|v1\.14\.[0-9]|v1\.15\.[0-2]'