🇰🇷 한글 설명
OpenShift Container Platform 3.x 클러스터 업그레이드 과정에서 CRI-O를 사용하는 경우, dockergc 서비스 계정이 업그레이드를 수행하는 사용자의 현재 네임스페이스에 할당되는 결함이 발견되었습니다. 이 결함으로 인해 권한이 없는 사용자가 보안 컨텍스트 제약(SCC)에 의해 허용되는 높은 수준의 권한으로 상승할 수 있습니다.
💡 쉬운 설명
시스템을 업데이트하는 과정에서 실수로 관리자급 권한이 일반 사용자에게 넘어가는 보안 구멍이 생겼습니다. 이를 통해 일반 사용자가 시스템 전체를 제어할 수 있는 높은 권한을 획득할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found during the upgrade of an existing OpenShift Container Platform 3.x cluster. Using CRI-O, the dockergc service account is assigned to the current namespace of the user performing the upgrade. This flaw can allow an unprivileged user to escalate their privileges to those allowed by the privileged Security Context Constraints.
📍 영향받는 시스템
OpenShift Container Platform 3.x (CRI-O 사용 환경)
⚔️ 공격 벡터
업그레이드 프로세스 중 특정 서비스 계정의 권한이 사용자 네임스페이스로 잘못 할당되는 것을 이용한 권한 상승 공격
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전의 OpenShift 및 CRI-O로 업데이트를 수행하십시오.
🔧 검증 코드
명령어 결과에서 dockergc 관련 권한이 일반 사용자 네임스페이스에 할당되어 있는지 확인합니다.
oc get clusterrolebinding | grep dockergc